Libro Seguridad GNU Linux Antonio Perpinan 2011

Antonio Perpian
Fundacin Cdigo Libre Dominicana
SEGURIDAD
DE SISTEMAS
GNU/LINUX
GUIA DE ESTUDIO HACIA UNA CAPACITACION SEGURA FUNDACION Cdigo Libre Dominicano Antonio Perpian
http //!!!"codigo#ibre"org
Antonio Perpian
ADMINISTRACION DEL SISTEMA GNU/LINUX

GUIA DE AUTO ESTUDIO HACIA UNA CAPACITACION SEGURA
INTRODUCCIN
LOS PROPSITOS DEL CURSO
Lo% pro&e%iona#e% de #a tecno#og'a de #a in&ormacin ()I* %on cr'tico% ho+ d'a para e# ambiente de negocio" Ad,uirir #a% herramienta% + conocimiento di%ponib#e en #a tecno#og'a de ho+ e% -ita#" GNU/Linu. + e# Cdigo Libre han co#ocado un nue-o e%t/ndar en #o ,ue e% de%arro##o e imp#ementacin de ap#icacione% nue-a% + per%ona#i0ab#e%" 1i%tema% Libre% contin2an ganando e%pacio de reconocimiento entre #o% pro&e%iona#e% + admini%tradore% de# )I debido a %u &#e.ibi#idad3 e%tabi#idad3 + %u podero%a &unciona#idad" A medida ,ue m/% empre%a% uti#i0an e%ta p#ata&orma3 crece #a nece%idad de %oporte + p#ani&icacin %obre #a integracin de GNU/Linu. en in&rae%tructura% nue-a% +/o e.i%tente%" 4# ro# de# admini%trador e% guiar #a imp#ementacin + de%arro##o de %o#ucione% ba%ada% en GNU/Linu." 1u 5.ito o derrota depender/n de %u conocimiento + e.periencia de e%ta &ant/%tica ar,uitectura" 4%te cur%o e% un repa%o compren%i-o de #a% caracter'%tica% + &unciona#idad de GNU/Linu.3 orientada a preparar a# e%tudiante con #a% herramienta% nece%aria para con-ertir%e en un pro&e%iona# tota#mente preparado para en&rentar #o% reto% ,ue deben con,ui%tar #o% admini%tradore%" 4.p#icacin deta##ada %e pro-ee de #o% concepto% c#a-e%3 mucho% concepto% + uti#idade% de GNU/Linu. %on id5ntico% %in importar #a di%tribucin e%pec'&ica %iendo uti#i0ada" A#guna% caracter'%tica% e%t/n di%ponib#e% en a#guna% di%tribucione%3 + otra% %on aadida% durante #a in%ta#acin" La natura#e0a de GNU/Linu. + e# 1o&t!are Libre e% ta#3 ,ue cambio% a# &uente + cambio a &unciona#idad de cua#,uier componente debe %er inc#uido en #a di%tribucin %iguiente" Lo% concepto% %ub#ime de #a% capacidade% de GNU/Linu. %e mantienen con%i%tente% a tra-5% de cada di%tribucin3 6erne# + cambio de 1o&t!are" 4%to% #ibro% han %ido de%arro##ado de acuerdo con #o% e%t/ndare% de #a indu%tria de certi&icacin de GNU/Linu.3 #o% cua#e% ha #a -e0 han deri-ado% de%de #o% e%t/ndare% de Uni." Lo% ob7eti-o% de #a certi&icacin GNU han %ido e#emento% c#a-e% en e# de%arro##o de e%te materia#" La %ecuencia de #o% e./mene% de certi&icacin GNU/Linu. pro-ee #a gama m/% amp#ia de #o% concepto% nece%ario% para dominar GNU/Linu." Lo% ob7eti-o% de #a% certi&icacione% LPI + 89C4 tambi5n %on inc#uido% +a ,ue todo% e%t/n ba%ado% en #a% matrice% de# conocimiento de Uni." 4%te #ibro pro-ee #o% concepto% + principio% &undamenta#e% nece%ario% para admini%trar un %i%tema GNU/Linu." Lo% concepto% + #a% tarea% de admini%tracin pueden %er un poco amp#io%" 1e #e dar/ una e.p#icacin de# ro# de# admini%trador3 e%tructura + &uncin deta##ada de# 6erne#3 + cubriremo% tema% admini%trati-o% c#a-e% de# mane7o de pa,uete%3 proce%o%3 e%pacio de di%co3 re%guardo% :ac6up% + #o% u%uario% a%' como #a% tarea% program/tica%3 + #o% Log% 8egi%tro% de# %i%tema" 4%te con7unto de herramienta% te permitir/n apropiadamente admini%trar un %i%tema GNU/Linu. %ea e%te de uno% cuanto% ha%ta mi#e% de u%uario%" 4%to% cap'tu#o% tambi5n te pro-eer/n #a in&ormacin ,ue nece%ita% para prepararte + %i de%ea% certi&icarte" Fundamento% de GNU/Linu. proporciona una introduccin a pro&undidad de #o% concepto% + de #o% principio% ,ue %on nece%ario% para in%ta#ar un %i%tema GNU/Linu. + de%en-o#-er%e en #o% ambiente% de -entana de# X + de #a #'nea de comando%" 4%te manua# da #a direccin pa%o a pa%o para #a% di%tribucione% importante% de http //!!!"codigo#ibre"org ;
Antonio Perpian
GNU/Linu. + %u in%ta#acin3 inc#u+endo CentO13 Fedora3 Debian + Ubuntu" 1e en&ati0an #o% concepto% de in%ta#acin3 #a% uti#idade%3 + #a &unciona#idad de GNU/Linu. com2n a toda% #a% di%tribucione% + e%ta% %e e.p#ican en deta##e adiciona#" Un principiante o un e.perto pueden aprender o repa%ar #o% concepto% de particionar di%co% + #oca#i0ar #o% archi-o% de con&iguracin3 u%ando e# %he## + #a% con%o#a%3 crear #o% %cript%3 + editar archi-o% de te.to ,ue permanecen dominante%3 %in importar #a nue-a% herramienta% gr/&ica%3 para #o% a7u%te% de con&iguracin" 4%te con7unto de tema% permitir/ ,ue u%ted in%ta#e + con&igure correctamente un %i%tema GNU/Linu." 4n e%to% cap'tu#o% tambi5n %e #e pro-ee #a in&ormacin nece%aria para certi&icar %u% habi#idade% en GNU/Linu." METAS DEL CURSO 4%te cur%o #e pro-eer/ con #a in&ormacin ,ue nece%ita% para comp#etar #o% %iguiente% tema% De%cribir ,ue e% 1eguridad + cua#e% %on %u% 4%t/ndare%" 4#emento% de 1eguridad + %u% Principio%" Concepto% de 4ncriptacin + %u% Proce%o%" L#a-e% PGP + GPG" Autenticacin3 4n-o#tura% )CP (<rapper%*3 F)P annimo" 1eguridad en archi-o% compartido%" Caracter'%tica% de #a% amena0a% de )ro+ano%3 Gu%ano%3 =iru% + Crac6er%" 4ntorno% de U%uario% + Li%ta% de Acce%o (ACL*" 4# u%o de %u3 %udo + #o% permi%o% 1UID3 GUID + e# 1tic6+ bit" A%egurar e# %i%tema de archi-o%3 ap#icar parche% a# 6erne# + monitorear e# %i%tema con #o% #og%" Comunicacione% %egura% + proteger #o% %er-icio% )CP/IP" =u#nerabi#idad de #a 8ed3 Fire!a##%3 Pro.ie% + =PN%" Deteccin de Intru%o% + entrada% &or0ada%" 1o&t!are de deteccin de intru%o%" Di%traccin como de&en%a EJERCICIOS Lo% e7ercicio% en e%te manua# %on di%eado% para dar practica% rea#e% en #o% ambiente% de rede% + ai%#ado% (%tand>a#one o net!or6ing* a# u%uario" 4% a#tamente recomendado ,ue u%ted comp#ete todo% #o% e7ercicio% en cada cap'tu#o ante% de continuar a# pr.imo" 4ntendemo% ,ue en raro% ca%o% ta# -e0 e%to no %ea con-eniente cuando e%tudia &uera de# ta##er" 1i por a#guna ra0n no puede% comp#etar un e7ercicio por circun%tancia% a7ena%3 debe% p#ani&icar comp#etar#o tan pronto %ea po%ib#e" 4.i%tir/n e7ercicio% ,ue no podr/% comp#etar por e# #imitante de e,uipo %o&t!are" No permita ,ue e%to #e impida comp#etar #o% otro% e7ercicio% ,ue re%ten en e# cap'tu#o mdu#o" TOME NOTA Lo% e7ercicio% en e%te #ibro &ueron di%eado% para %er e7ecutado% en un e,uipo de prueba + nunca deben %er ##e-ado% a cabo en uno traba7ando + donde %e e7ecuten ap#icacione% importante%" In%ta#ar GNU/Linu.3 reparticionar para in%ta#ar GNU/Linu.3 o practicando #o% e7ercicio% en una LAN u computador de traba7o puede cau%ar prob#ema% de con&iguracin3 #o cua# puede con##e-ar a perdida% irreparab#e de data + di%po%iti-o% peri&5rico%" Por &a-or %iempre recuerde e%ta ad-ertencia" 4% pre&erib#e ,ue dedi,ue% una e%tacin de traba7o para practicar e%to% e7ercicio%" In%ta#ar GNU/Linu. en una %ituacin dua#>boot no e% una a#ternati-a ra0onab#e"
Antonio Perpian
WEB Una parte mu+ c#a-e de e%ta %erie de auto>aprendi0a7e e% e# porta# de %oporte" La% #eccione% ,ue #e indi,uen -i%itar #a p/gina !eb3 a menudo3 e% para a+uda con #o% concepto% ,ue %on me7or entendido% de%pu5% de una de%cripcin -i%ua#" Lo% %egmento% -ideo Digita# proporcionan una i#u%tracin gr/&ica acompaada por una narracin de #o% in%tructore%" 4%ta% #eccione% %on idea#e%3 ambo% como introduccione% para a&inar concepto% + para a+udar e# re&uer0o" RECUERDE Como herramienta de %oporte #e% o&recemo% nue%tra au#a% -irtua#e% con e%to% cur%o% + e./mene% de prueba ,ue puede tomar para medir %u% habi#idade%3 nue%tra p/gina !eb http //!!!"codigo#ibre"org + a##' acce%ar hacia #a %eccin Academia3 e%to% contienen e./mene% de prueba de #a% di&erente% certi&icacione%3 para #a% cua#e% e%te + #o% dem/% #ibro% #e preparan" 8ecreamo% e# e%cenario de #a% pregunta% de %e#eccin m2#tip#e%3 mu#ti>%e#eccin + &a#%o -erdadero" 4% mu+ importante ,ue tome mucha% hora% de practica% ante% de intentar pa%ar e# 4.amen de certi&icacin ,ue #e corre%ponda +a %ea LPI3 89C)3 89C43 o uno de #o% nue%tro% GC1)3 GC1A3 GC14"
Antonio Perpian
DESCRIPCION Y ESTANDARES DE SEGURIDAD

TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin CDu5 e% 1eguridadE Ftica% en #a 4ra de #a In&ormacin 4-a#uacin de 8ie%go 4%t/ndare% de 1eguridad 4#emento% de 1eguridad Principio% de 1eguridad 8e%umen Pregunta% Po%t>4.amen No. A A B B $G $; $H ?G ?H ?B ?B
CAPITULO
OBJETIVOS:
Al completar este captulo, usted podr De&inir 1eguridad De%cribir e# criterio de e-a#uacin de #a Indu%tria u%ado para %eguridad3 inc#u+endo con&ian0a" Criterio de 4-a#uacin de 1i%tema% Computaciona#e% ()C14C* + e# criterio com2n (CC*" La importancia de #a %eguridad de# computadorI e%peci&icar #a% -u#nerabi#idade% c#a-e% para #a% rede%3 e# Internet3 + e# per%ona# ,ue uti#i0a #o% computadore%" 4.p#icar #a nece%idad de imp#ementar %eguridad en #a red" Identi&icar #o% recur%o% ,ue nece%ita #a %eguridad" C#a%i&icar #a% medida% de contro# de %eguridad como &'%ica%3 t5cnica% o de proce%o" De&inir + de%cribir #o% prop%ito% detr/% de #a% 5tica% de %eguridad3 e%pec'&icamente en e# ca%o de un admini%trador de %i%tema%" De%cribir + #i%tar #o% e#emento% c#a-e% de# cdigo de 5tica% GNU" De%cribir + #i%tar #o% e#emento% c#a-e% de #o% cdigo% de 5tica (I1C*"
1
SEGURIDAD
DEL SISTEMA OPERATIVO GNU/LINUX
Pregu !"# Pre$E%"&e

$" CCu/# e% #a de&inicin de %eguridad pro-e'da por #a Organi0acin Internaciona# de 4%tandari0acinE ;" CCu/# e% e# primer pa%o ,ue u%ted deber'a tomar en orden de a#o7ar e&ecti-amente #o% recur%o% de %eguridad + reducir #o% rie%go% en %u Organi0acin" ?" CDe&ina a#guno% m5todo% c#a-e% de emp#ear %eguridad en un ambiente de redE @" Lo% admini%tradore% de red #o% cu/#e% crean una pared de %eguridad a#rededor de# per'metro de %u red en contra de #o% ata,ue% en Internet deben de %entir%e %eguro% debido a %u e%&uer0o" CDu5 m/% deber'a de hacer un admini%trador para monitorear %u red con e&icaciaE
Antonio Perpian
INTR!"#CCI!N
4%ta bre-e re%ea para -er %i podemo% hi%tricamente co#ocar e# inicio de #a ciencia de %eguridad in&orm/tica #a encuentra% en Internet + #a co#oco a,u' para ,ue no% %ir-a de punto de re&erencia" 8obert )appan Korri%3 un 7o-en graduado de 9ar-ard ,ue e%taba comp#etando %u &ormacin en #a Uni-er%idad de Corne##3 comen0 a programar un gu%ano para demo%trar #a% -u#nerabi#idade% en e# traba7o de %u padre3 8obert Korri%3 un ingeniero de :e## Lab%3 e.perto en UNIX + uno de #o% t5cnico% re%pon%ab#e% de# di%eo de Internet + %eg2n a#guno%3 e%pecia#i%ta de #a &amo%a e ine.i%tente Agencia de 1eguridad Naciona# (N1A*" )ambi5n &ue uno de #o% tre% creadore% de #o% &amo%o% LCore <ar%M" 4# &amo%o gu%ano ,ue &ue #iberado en A8PAN4) (Ad-anced 8e%earch Pro7ect% Admini%tration Net!or6*3 nada meno% ,ue en e# #egendario KI)3 cuna de #o% primero% hac6er%3 + %er'a conocido de%de entonce% como e# LGu%ano de InternetM" 4# d'a ? &ue con%iderado como e# LNue-e% NegroM3 u%ando #a termino#og'a re%er-ada para #o% Lcrac6er%M bur%/ti#e%3 por,ue e# gu%ano %e propag con rapide0 + e&icacia e.traordinaria" 4%to% incidente% %en%aciona#e% %on re#acionado% con #a% amena0a% de %eguridad a%ociada% con Internet + #a% rede%" Lo% Crac6er% + #o% -iru% de computadore% %on tan comune% ,ue ha%ta #a% &a##a% de #a% hora% de# %i%tema han %ido a%ociada% a prob#ema% particu#are% de Internet" La ma+or'a de #a% compa'a% de Internet han %ido probada% como ente% -u#nerab#e%" Por e7emp#o3 tanto ama0on"com como +ahoo"com (por mencionar a#guna% pero #a #i%ta e% #arga3 Pa+pa#3 -i%a3 #o% banco%3 e%tado%3 etc* han %ido -ictima% de ata,ue%3 e hi%toria% de incidente% ta#e% como e# #egendario LGu%ano de InternetM de 8obert Korri% en $OBB" Ante% de continuar debemo% di&erenciar a #o% 9ac6er% de #o% Crac6er%3 aun,ue #o% medio% %e han re%i%tido% a ac#arar #a% di&erencia% entre ambo%" Kientra% ,ue no todo% #o% 9ac6er% %on Crac6er%3 + pero %i todo% #o% Crac6er% %on ma#icio%o%3 pero ning2n hac6er #o e%3 e%ta e% una genera#i0acin ,ue e% hecha dentro de #o% medio% de in&ormacin por &a#ta de entendimiento de #a di&erencia entre e%to% do% indi-iduo%" Ahora ,ue #a% comunidade% de negocio% han abra0ado e# comercio por Internet3 #a comunicacin + co#aboracin3 #a integridad de in&ormacin %en%ib#e + #inea% de comunicacin %e han -ue#to mu+ importante%" Internet e%ta di%ponib#e para cua#,uier per%ona con una cone.in de red + una cuenta con un Pro-eedor de 1er-icio% de Internet (I1P*" 4%te &ue di%eado para %er una red abierta +3 por #o tanto tiene una mu+ pe,uea capacidad de a%eguramiento de #a in&ormacin ,ue comparte" De%de un punto de -i%ta de %eguridad3 Internet e% inherentemente in%egura" Aun,ue3 #a% compa'a% e indi-iduo% de%ean ap#icar principio% de %eguridad a Internet3 u%ando una manera #a cua# %u% in-entore% no di%earon" Para #o% u%uario% de Internet %u nue-o reto e% proteger #o% dato% %en%ib#e% (importante%* mientra% %e #e% permite a# per%ona# autori0ado u%ar#o" 4%te #ibro #o introducir/ a in&ormacione% de principio% de %eguridad + #e% en%ear/ como proteger %u %i%tema de acce%o% no autori0ado%3 uti#i0ando #a 2#tima tecno#og'a di%ponib#e"
$%u& es Se'uridad(
Pue%to %imp#e3 #a %eguridad en un ambiente de red e% #a habi#idad de identi&icar + e#iminar -u#nerabi#idade%" Una de&inicin genera# de %eguridad debe tambi5n poner atencin a #a nece%idad de %a#-aguardar #a -enta7a organi0aciona#3 inc#u+endo in&ormacin e e,uipo% &'%ico%3 ta#e% como #o% mi%mo% computadore%" Nadie a cargo de %eguridad debe determinar ,uien + cuando %e puede tomar accione% apropiada% %obre un 'tem en e%pec'&ico" Cuando %e trata de #a %eguridad de una compa'a3 #o ,ue e% apropiado -ar'a de organi0acin a organi0acin" Independientemente3 cua#,uier compa'a con una red debe de tener una po#'tica de %eguridad ,ue %e diri7a a con-eniencia + coordinacin"
Antonio Perpian
A,u' %e di%cutir/ #a %eguridad + como e%ta e% re#acionada a Internet + e# denominado Internet>!or6ing" Con #a ##egada de #a% tecno#og'a% %o&i%ticada% como #a% rede% de /rea #oca#3 rede% de Area Amp#ia3 Internet + #a% 8ede% Pri-ada% =irtua#e% (=PN*3 #a idea + pr/ctica de %eguridad %e ha -ue#to m/% comp#e7a ,ue %imp#emente patru##ar e# per'metro de #a red" )omando en cuenta #a% rede%3 %e puede de&inir #a %eguridad como LUn proce%o continuo en e# cua# un admini%trador a%egura ,ue #a in&ormacin e% compartida %o#o entre #o% u%uario% autori0ado%M" A# &ina# de e%te #ibro3 u%ted e%tar/ &ami#iari0ado con e# proce%o + #a% tecno#og'a% uti#i0ada% para e%tabi#i0ar + #imitar e# comportamiento ,ue %u organi0acin con%idere apropiado" U%ted %e en&ocar/ en #o% a%pecto% de %eguridad ,ue %e re#acionan con #a cone.in de %u organi0acin a Internet" La conecti-idad de Internet hace e.tremadamente &/ci# ,ue un u%uario de%conocido %e conecte a recur%o% ,ue %e encuentren e.pue%to%" U%ted nece%ita a%egurar%e de ,ue %o#o pueden acce%ar a,ue##o% ,ue u%ted a programado" 4%te #ibro e.p#orar/ #o% m5todo% de contro#ar e# acce%o a #o% u%uario% + Crac6er%3 como tambi5n re%ponder a #o% e-ento% + minimi0ar e# dao cuando a#guien engaa e%o% contro#e%" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin De&inicin de 1eguridad La 1eguridad en e# Internet 9o+ De'( ()(* +e Segur(+"+ Ante% de e.aminar #o% deta##e% de %eguridad3 nece%itamo% e%tab#ecer una de&inicin de #o ,ue %igni&ica e%te t5rmino en e# conte.to" Comen0aremo% con una de&inicin dada por #a Organi0acin Internaciona# de 4%tandari0acin (I1O*" Un documento I1O (I1O A@OB>;*3 de&ine %eguridad como un medio de reducir3 en #o m/% po%ib#e3 #a% -u#nerabi#idade% de #o% dato% + recur%o%" (U%ua#mente e%to %e re&iere a 4,uipo%/8ede% de dato% + Ap#icacione%" )ambi5n e%ta a%ociado con a#guno% ni-e#e% de -a#ore% monetario%"* La I1O tambi5n de&ine un acti-o3 e# cua# e% otro t5rmino para e# dato3 como una ap#icacin + recur%o ,ue e.i%te en cua#,uier %i%tema computaciona#" La% -u#nerabi#idade% de%crita% por I1O pueden %er cua#,uier co%a ,ue #e permita a a#guien ganar acce%o a e%e acti-o" U%ua#mente3 una -u#nerabi#idad e% a#g2n tipo de debi#idad en e# %i%tema3 un a%pecto pa%ado por a#to en #a con&iguracin de# %i%tema + proce%o" Una amena0a e% cua#,uier accin ,ue comprometa #a %eguridad de# %i%tema" L" Segur(+"+ e I !er e! +e H,Lo% recur%o% actua#e% de# Internet di%ponib#e% a #o% indi-iduo%3 empre%a% + organi0acione% permiten e# intercambio de in&ormacin" 1in embargo3 e# a#macenamiento e.ten%o + #a tran%&erencia de in&ormacin crea una oportunidad para brecha% de %eguridad ha%ta en e# %i%tema m/% %eguro" 4% importante reconocer #a &uente de amena0a + tomar medida% pre-enti-a%" P,r .ue e# I&/,r!" !e 0" Segur(+"+1 4# n2mero de empre%a% e indi-iduo% ,ue uti#i0an Internet crece cada d'a" Como e# n2mero de u%uario% %e e.pande3 a%' mi%mo aumenta e# n2mero potencia# de -'ctima% como ob7eti-o% + Crac6er%" La %eguridad debe de incrementar%e para proteger a #o% u%uario% de Internet de a,ue##o% ,ue pueden robar in&ormacin con&idencia#" Para e# prop%ito de e%te #ibro3 %iempre %er/ de %uma importancia de&inir #o% t5rmino% de 9ac6er% + Crac6er%" 4%ta de&inicin e%ta con%tantemente en di%cu%inI #a ma+or'a de #a% de&inicione% e.i%tente% intentan de&inir #o% ro#e% de un 9ac6er + de un Crac6er3 pero e% importante recordar ,ue e# Crac6er e% ,uien repre%enta http //!!!"codigo#ibre"org A
Antonio Perpian
una amena0a para #a %eguridad de Internet"" Un 9ac6er e% un programador e.cepciona#3 e# cua# ma.imi0a #o% recur%o% de# computador" Un Crac6er e% un indi-iduo e# cua# ingre%a a #o% %i%tema% en #o% ,ue no e%ta autori0ado" L" Segur(+"+ e Ge er"0 La %eguridad debe de %er una preocupacin en cada %ituacin" 1i una per%ona e%ta pagando por una cena con una tar7eta de cr5dito o traba7ando como una con%e7ero &inanciero para in-er%in en #a bo#%a de -a#ore%3 #a %eguridad %er/ un tema" Para comprender comp#etamente #a nece%idad de %eguridad3 con%idere #a% di&erente% manera% en #a% ,ue 7uega una parte importante en #a -ida diaria" Cerradura% en #a% puerta%3 ID de imagen3 c/mara% de %eguridad3 #'mite% de -e#ocidad + #o% %eguro% %on a#guno% de #a% di&erente% &orma% de a a%egurar #a pri-acidad indi-idua#" L" Segur(+"+ e I !er e! La magnitud de# Internet crea oportunidade% para ,ue e%te %ea ma# uti#i0ado" Kucha% compa'a% en #'nea han reportado e# robo de n2mero de tar7eta% de cr5dito% -'a Internet" 8ecuerdo haber #e'do e%te ca%o &amo%o en Internet3 ,ue creo ,ue e% bueno para i#u%trar Lun crac6er ,ue intento pre%ionar con amena0a% a una tienda de CD en #'nea por U1P$GG3GGG"GG" 4# demandaba ,ue hab'a robado ?GG3GGG n2mero% de tar7eta% de cr5dito de #a compa'a + a# meno% de ,ue %u% nece%idade% &ueran %ati%&echa% e# #a% pub#icar'a en e# Internet" La compa'a recha0o #a demanda de# crac6er + c#amo por a+uda a# F:I" 4# crac6er pub#ico ;J3GGG n2mero% ante% de ,ue &uera detenido3 + e# ha amena0ado con pub#icar e# re%to de n2mero% de tar7eta% de cr5dito en e# &uturo"M (Nota in-e%tigar como termin e# a%unto* Lo% banco% han continuando mo-iendo #a ma+or'a de %u% negocio% a Internet" 1er-icio% en #'nea3 denominado% como Internet>:an6ing3 ta#e% como in&ormacin de #a cuenta3 -eri&icacin en #'nea + pago% directo%3 hacen ,ue #o% banco% + %u% c#iente% %ean b#anco% para #o% crac6er%" La% Agencia% de Gobierno con&'an cada -e0 m/% en Internet para %incroni0ar e%&uer0o%" Agencia% ta#e% como NA1A3 F:I3 CIA + N1A e%t/n u%ando Internet para en-iar3 a#macenar + proce%ar in&ormacin" La in&ormacin ,ue e##o% po%een (e7emp#o medicina3 &inanciera + r5cord% de crimina#e%* %on b#anco% potencia#e% para #o% crac6er%" Internet e% un %i%tema -a%to de in&ormacin con grado% -ariante% de con&idencia#idadI e%ta in-ita a #a acti-idad crimina# por e# anonimato ,ue o&rece" Actua#mente3 #egi%#adore% a tra-5% de# g#obo e%t/n de%arro##ando #e+e% para gobernar e# cibere%pacio" 4# Gobierno de #o% 4%tado% Unido% de Am5rica (U1A* e%ta incrementando e# monto de recur%o% de#egado para %er dirigido a# crimen en Internet" A pe%ar de e%ta% medida%3 e# crimen en Internet contin2a creciendoI e% importante ,ue #a %eguridad %ea una con%ideracin nece%aria por cada u%uario" Segur(+"+ 23#()" La %eguridad &'%ica e% un a%pecto &/ci#mente pa%ado por a#to en #a %eguridad ,ue concierne a Internet" A menudo3 #a %eguridad en Internet e% a%ociada con #o% corta &uego%3 enma%caramiento de IP + otro% m5todo% e#ectrnico% de proteccin" Aun,ue todo% e%o% a%pecto% %on importante% en #a %eguridad de Internet3 como tambi5n e% importante a%egurar tambi5n #o% e,uipo% &'%icamente" La %eguridad &'%ica debe de comen0ar con una re-i%in de #a% &aci#idade% donde un %i%tema computaciona# e% a#o7ado" 4.aminar #a &uer0a de #a% puerta%3 cerradura% + -entana%" 4%timando #a di&icu#tad de entrada% &or0ada% en e# edi&icio + #a% oportunidade% de %er capturado%" 4%t/n #o% %i%tema% de a#arma en %u #ugar3 + %i e% a%'3 C,u5 http //!!!"codigo#ibre"org B
Antonio Perpian
tan e&ecti-a% %onE C4%ta e# edi&icio cerrado + a%egurado cuando e# 2#timo emp#eado %e -a de #a empre%aE 4%a% %on #a% primera% pregunta% ,ue deben %er re%pondida%" 1in embargo3 #a %eguridad &'%ica no detiene un robo" 4% importante tener medida% de %eguridad en contra de acto% natura#e%" Protectore% de o#eada% %on un e7emp#o de ta#e% medida%3 pero #a proteccin para #o% impacto% de ra+o% a# a0ar no e% %u&iciente" CCu/#e% tipo% de di%po%iti-o% de deteccin e%t/n %iendo u%ado%E 1i e# edi&icio ,ueda atrapado en un &uego3 C%er/ e# departamento de bombero% a-i%ado% inmediatamenteE e%t/n #o% recur%o% -a#io%o% mantenido% en una habitacin en contra de &uego o a%egurada con cerradura%E Puede e# edi&icio %oportar una tormenta o cic#n &uerteE 4.i%ten rie%go% de /rbo#e% %op#ando %obre e# edi&icioE 4%ta% pregunta% parecen tri-ia#e%3 pero con%ider/ndo#a% %e pueden pre-enir comp#icacione% &utura%" 4%ta /rea de %eguridad e% a menudo ##amada P#ani&icacin de #a 8ecuperacin de# De%a%tre + e.ige un ni-e# de deta##e% ,ue e%t/n m/% a##/ de# a#cance de e%te #ibro" Un comp#eto P#an de 8ecuperacin de De%a%tre% (D8P*3 mientra% deba7o de #a %ombri##a de #a %eguridad3 debe de inc#uir prueba% de emergencia% #oca#e% para re%ponder a #a e&icacia + capacidad3 medio% de bac6up3 a#macenamiento + tran%porte3 a%' como un p#an de contingencia para #o% co%to%3 re%pon%abi#idade% &ami#iare%3 po%ib#e% oportunidade% de &raude + tema% #ega#e% a%ociado% con po%ib#e% de%a%tre%" 4% tambi5n importante recordar ,ue un crac6er puede oca%iona#mente ganar acce%o &'%ico a %u in&ormacin %in ni %i,uiera acce%ar a# edi&icio donde e%ta a#macenada" A%egurar%e de ,ue #a% #inea% te#e&nica% %on %egura% + ,ue no ha+ manera de ,ue e%ta% %ean abierta% o de &/ci# acce%o" Segur(+"+ e e0 Lug"r +e Tr"4"5, Lo% agu7ero% de %eguridad pueden tambi5n ocurrir por deta##e% pa%ado% por a#to en e# #ugar de traba7o" Un emp#eado con acce%o a root puede %er tentado a crear un u%uario para un crac6er en e# e.terior" La% contra%ea% %on e%crita% en pape# para una &/ci# re&erencia" In&ormacin importante e% tirada a #o% 0a&acone% %in %er triturada" Aun,ue e%a% brecha% parecen %er menore%3 e##a% pre%entan un amena0a rea# para #a %eguridad + %on a menudo u%ada% por #o% crac6er% para ganar entrada dentro de# %i%tema" Lo% crac6er %on conocido% como hurgadore% en ba%ura3 donde e##o% #itera#mente bu%can en #o% 0a&acone% de #a% empre%a% por cdigo% de acce%o o contra%ea%" Lo% crac6er% no %on #a% 2nica% amena0a% para #a %eguridad" 4mp#eado% incon&orme% pueden cau%ar una cantidad de dao %imi#ar3 de%tru+endo toda% o a#guna% de #a% ba%e% de dato% de #a% rede% de #a compa'a" 4% -ita# de ,ue %ean tomada% precaucione% para proteger apropiadamente in&ormacin con&idencia#" L" Segur(+"+ Per#, "0 La %eguridad en e# traba7o comien0a en #o% ni-e#e% m/% b/%ico%3 #o% traba7adore%" Cuando %e contrata un nue-o emp#eado3 #a% re&erencia% pueden %er re,uerida% + -eri&icada%" 4% tambi5n importante -eri&icar e# pa%ado de #o% emp#eado%" De%pu5% de ,ue #a deci%in de contratar un emp#eado e% hecha3 e%te debe de %er entrenado e in&ormado de #a% medida% de %eguridad ,ue %er/n tomada%3 inc#u+endo triturado de toda #a in&ormacin3 &recuentemente cambiando + e#igiendo #a contra%ea apropiada + #a encriptacin de emai#" Otra manera de garanti0ar #a% %eguridad per%ona# e% monitorear a #o% emp#eado% cuidado%amente" 4# grado de como una compa'a debe monitorear un emp#eado ha %ido actua#mente tra'do ante #a% corte% con per%ona% ,ue demandan por -io#acione% de a %u pri-acidad" 4% importante re%petar #o% derecho% de #o% emp#eado% mientra% %e #e% e%te monitoreando" La% e-a#uacione% a #o% emp#eado% pueden tambi5n incrementar #a% %eguridad per%ona#" 4%ta% a+udan a# emp#eado + a# emp#eador tener un me7or entendimiento de cada uno" Una e-a#uacin e&ecti-a mo%trar/ #a http //!!!"codigo#ibre"org O
Antonio Perpian
ca#idad actua# de# traba7o de #o% emp#eado% para e# emp#eador3 e indicar/ #o ,ue e% e%perado por e# emp#eado" Fina#mente3 e% importante mantener #a %eguridad per%ona# %i un emp#eado %a#e de #a empre%a" 1in importar %i #a %a#ida e% &or0ada o -o#untaria3 pa%o% deben de %er tomado% inmediatamente para pre-enir cua#,uier amena0a" Cua#,uier contra%ea a #a cua# e%e emp#eado tu-o acce%o debe de %er cambiada3 + #a cuenta de# emp#eado debe de %er cerrada" La% medida% pre-enti-a% reducir/ e# rie%go de amena0a% de %eguridad" E#!"+3#!()" #,4re A&e "6"# C,&u e# (ONO ONO In-e%tigar ci&ra% actua#e%* 4# 4,uipo de 8e%pue%ta% a 4mergencia% Computaciona#e%/Centro de Coordinacin (C48)/CC* e% un e,uipo naciona# de re%pue%ta% computaciona#e% ,ue direcciona + a#macena un r5cord de #o% tema% de %eguridad para #o% u%uario% de Internet" C48)/CC pub#ica una #i%ta corta de e%tad'%tica% ,ue tratan con #a %eguridad de #o% computadore%" 4n $OOG3 ;J; incidente% de agu7ero% de %eguridad &ueron reportado%I en $OOO3 O3BJO incidente% &ueron reportado%" 4n $OOJ3 $A$ -u#nerabi#idade% de%cubierta% &ueron reportada%I $OOO e# n2mero a crecido a @$A" 4# monto tota# de -u#nerabi#idade% conocida% reportada% a C48)/CC a e%te momento era de $A3O@H" 4%to no inc#u+e #o% de%cubrimiento% ,ue no ha %ido reportado% o #a% incontab#e% -u#nerabi#idade% ,ue toda-'a no han %ido encontrada%"
Ao ;GGB(D$>D?* ;GGA ;GGH ;GGJ ;GG@ ;GG? ;GG; ;GG$ )ota# =u#nerabi#idade% Categori0ada% H3GJB A3;?H B3GH@ J3OOG ?3ABG ?3AB@ @3$;O ;3@?A 8eporte% Directo% ?$G ?JA ?@J ;$? $AG $O$ ?@? $J?
C"#,# 2"&,#,# +e Segur(+"+ La in&ormacin conocida %obre #o% crac6er% e% e%ca%a + raramente con&iab#e" 1in embargo3 han habido ca%o% en #o% cua#e% &amo%o% crac6er% han %ido capturado% por e# gobierno de #o% 4%tado Unido%" 4%to ha pro-e'do in&ormacin %obre #o amp#ia% ,ue %on %u% capacidade%" 4n $OBB3 8obert Korri%3 un e%tudiante graduado de Corne##3 #an0o un gu%ano e# cua# #o con-ertir'a en e# ca%o de crac6er% m/% &amo%o% en #a hi%toria" 4# gu%ano de Korri% in&ecto m/% de H3GGG computadore% en un per'odo de ;@ hora%" 4# gu%ano acced'a #o% computadore% + e7ecutaba una pe,uea tarea en e# bac6ground3 #uego acce%aba e# programa de emai# + %e de%cargaba e# mi%mo hacia otro% computadore%" 1in embargo3 debido a# un error de programacin3 a#guno% computadore% &ueron in&ectado% con ciento% de copia% de# programa gu%ano + e-entua#mente %e inhib'a (&ri0aba*" 4# gu%ano de Korri% demo%tr #a% -u#nerabi#idade% de %eguridad de# Internet en e%e tiempo" Una -e0 in&ormado% de# prob#ema3 #o% pro&e%or en ciencia% computaciona#e% de -aria% uni-er%idade% trataron #a cri%i%3 + un parche &ue #an0ado en do% d'a%" 8obert Korri% %e con-irti en e# primer con-icto en Acto de Abu%o + Fraude Computaciona# Federa#I e# &ue %entenciado a -ario% ao% de #ibertad condiciona# + una mu#ta de U1P$G3GGG"GG" 4n $OB;3 un grupo de crac6er% ,ue %e hac'an ##amar #o% @$@ trataban de tener acce%o a# %i%tema computaciona# de# Laboratorio Naciona# Lo% Q#amo% (LANL*" LANL e% conocido por %u% in-e%tigacione% en #a http //!!!"codigo#ibre"org $G
Antonio Perpian
con%truccin de bomba% atmica%" Lo% @$@ e%tu-ieron cerca de O d'a% crac6iando3 acce%ando bruta#mente en #o% %i%tema% Ki#itare% de# Gobierno3 pero &ueron e-entua#mente atrapado% por #a po#ic'a" Pr,40e&"# P,!e )("0e# +e Segur(+"+ e u 2u!ur, Como &ue p#anteado anteriormente3 #a oportunidad para e# crimen en Internet e%ta creciendo a# mi%mo tiempo ,ue e# Internet" La nece%idad de %eguridad en e# &uturo %er/ mucho me7or ,ue ahora" 4%peran0adamente por e##o%3 #a ma+or'a de #a% precaucione% de %eguridad b/%ica% %er/n de %egunda natura#e0a" Por e7emp#o3 en e# &uturo3 e% po%ib#e ,ue todo% #o% e>mai#% + #a% tran%&erencia e#ectrnica %ean hecha autom/ticamente con encriptacin" )ambi5n e% po%ib#e ,ue e# acce%o a# computador + a #o% %i%tema% de# computador re,uiera e%caneo de retina o reconocimiento de -o0 en -e0 de una contra%ea" 1in embargo3 aun,ue e%a% medida% %ean tomada%3 nue-a% manera% %er/n de%arro##ada% para e-adir#a%" Lo% patrone% de retina pueden %er reproducido% digita#mente3 + #a encriptacin e% r/pidamente &/ci# de crac6ear debido a #a a#ta -e#ocidad de #o% proce%adore% actua#e%" No ha+ manera garanti0ada de conocer como %er/ e# &uturoI #o ,ue e% garanti0ado e% ,ue #a %eguridad %iempre %er/ un tema" 2r")"#, +e 0" Segur(+"+ La tecno#ogia de 1eguridad de# Internet a-an0a con%tantemente" A medida ,ue m/% indi-iduo%3 compa'a% + organi0acione% comien0an a conducir %u% negocio% en #'nea3 #a demanda de %eguridad %e incrementa" 1in embargo3 cada -e0 ,ue un prob#ema e% arreg#ado3 e% po%ib#e ,ue %e ha+a creado otra -u#nerabi#idad" Segur(+"+ ),&, u Pr,)e#, e Cur#, La %eguridad %iempre %er/ un proce%o en cur%o" La %eguridad e% parecida a e%tar en %a#ud3 no por,ue e%tamo% en %a#ud podemo% entonce% de%cuidar nue%tro comportamiento de dieta%3 e7ercicio%3 etc3 e% importante nunca parar de cuidar nue%tra %a#ud + %e no% de%cuidamo% #o %u&iciente #a nue%tra %a#ud %e derrumba" 1iempre ha+ ,ue e%tar -eri&icando #o% agu7ero% de %eguridad" Konitoreando %itio% como C48)/CC a+udar/ con e%te proce%o" Ingre%ar a una #i%ta de %er-icio% con prob#ema% de %eguridad + mantener%e actua#i0ado con #a tecno#ogia3 %iempre continuando con %u educacin" L" Segur(+"+ u )" e# 1778 No ha+ manera de e%tar comp#etamente %eguro" Crac6er% habi#ido%o% pueden ganar entrada a un %i%tema %eguro %in de7ar ra%tro%" 4n #a% Agencia% de Gobierno3 como #a CIA + e# F:I3 %e han encontrado con brecha% de %eguridad3 de%a&iando %u% recur%o% ca%i i#imitado% + habi#idade%3 a%' ,ue imag'ne%e un pe,uea empre%a de -enta% por Internet" R#timamente3 #a CIA + e# F:I han %ido con%iderado% como &uera de #o% #'mite% de #o% Crac6er%3 pero e%to e% principa#mente por #a habi#idad de e%to% de atrapar a #o% Crac6er%3 no por ,ue e%to% pueden pre-enir un ata,ue o ,ue uno acce%e a %u %i%tema i#ega#mente" 9a+ un &amo%o de dicho ,ue #a banca in-ierte en per%eguir un intru%o $GGG -ece% #o ,ue e%te #e cau%o en dao%" S,0u)(, e# P"r" u Mu +, I #egur, C Du5 deber/ hacer un u%uario para proteger%eE 4.i%ten -ario% m5todo% de p#ani&icacin de %eguridad" Proteger un %i%tema de un ata,ue interno como e.terno con e# u%o de encriptacin para en-iar emai#% o F)P" 4# cambio de contra%ea% regu#armente + ,ue nunca %ean e%crita% en pape#" Con&igurar Fire!a##% para proteger #a% rede%" Con&igurar programa% como L)rip!ireM para en-iar una a#erta %i una per%ona no autori0ada ha ganado acce%o" Konitorear p/gina% de %eguridad como C48)/CC3 ubicada en http //!!!"cert"org para in&ormacione% %obre #a 2#tima% -u#nerabi#idade% de %eguridad + #o% %e##o% (parche%* para e%o% agu7ero%" No dar #a contra%ea de http //!!!"codigo#ibre"org $$
Antonio Perpian
root a# meno% ,ue %ea ab%o#utamente nece%ario + #uego cambiar#a o a%egurar un me7or m5todo de de#egar #a tarea" 8ea#i0ar bac6up% en un horario regu#ar + mantener #a% cinta% de bac6up + CD en un #ugar %eguro" Poner buena% cerradura% en #a% puerta%" No ha+ manera de e%tar comp#etamente %eguroI e% %o#o po%ib#e tomar precaucione% a tra-5% de# aprendi0a7e + atendiendo #a% -u#nerabi#idade% de %u %i%tema o red + creando po#'tica% de bac6up para minimi0ar #o% e&ecto% de una brecha de %eguridad"
La )tica en la Era de la In*ormaci+n

4# ro# en crecimiento de #a% computadora% en nue%tra %ociedad no %o#o ha me7orado #a e&iciencia de #o% negocio% + e# intercambio3 paro tambi5n ha incrementado e# poder de# con%umidor" La% computadora% pro-een un nue-o + -a%to campo donde #a% reg#a% de conducta pueden no %er intuiti-a% como a,ue##a% pro-e'da% &uera de #a red" 4%te nue-o pa'% e% com2nmente re&erido como cibere%pacio3 un mundo -irtua# mantenido por #o% dato% + %u tran%porte" Dentro de e%te mundo e# anonimato impera" 1in embargo3 e# 7uicio en e# cibere%pacio puede %er ba%ado en un -a#or ap#icado a #o% dato% + a %u tran%porte" 1imi#ar a #a #ega#idad de cierta% accione%3 e# comportamiento 5tico e% re,uerido en e# cibere%pacio + puede %er imp#ementado de -aria% manera%" Kucha% %ituacione% han %urgido de%de #a popu#aridad de #a% computadora% en Internet3 inc#u+endo ta#e% tema% como pri-acidad3 %eguridad + #ega#idad" Kientra% e%ta %eccin no cubrir/ todo% e%o% tema% a pro&undidad3 intentaremo% con%truir una &undacin de principio%3 a%' un admini%trador de %i%tema% puede tomar deci%ione% %abia%" 4n e%ta %eccin3 di%cutiremo% #o% %iguiente% tema% De&inicin de Ftica Ftica para #o% Admini%tradore% de 1i%tema% La Ftica% de# Cdigo de# GNU Cdigo de Ftica% (I1C;* De'( ()(* +e 9!()"# 4# tema de como #a 5tica ap#ica a# u%o de# computador %e dirige a #o de %iempre en e%encia3 ,ue e% bueno + ,ue e% ma#o" 1abemo% ,ue e%to puede cambiar con #a imp#ementacin de una nue-a tecno#ogia" 4# cibere%pacio + #a era tecno#gica traen una mu#titud de nue-o% di#ema% de 5tica" Un e7emp#o de e%to puede comprometer o de%acreditar una compa'a" 1i e# u%uario + e# admini%trador e%t/n a# tanto de #a% mi%ma reg#a%3 %o#o un ma# entendido de e%a% reg#a% permitir'a un error en 7uicio" 8eg#a% de cdigo% de comportamiento de compa'a% %imp#emente de%ean e%tab#ecer un %i%tema de conducta% en e# cua# #o% emp#eado% ba%en %u% deci%ione%I %in e%ta% reg#a%3 %in embargo3 un u%uario o un admini%trador de %i%tema% no puede %aber e.actamente como actuar en una %ituacin en e%peci&ica" 4%e cdigo de conducta o po#'tica -ar'a a menudo de una compa'a a otra aun,ue puede %er ,ue compartan idea% &undamenta#e%" La% reg#a% 5tica% interna% de #a% compa'a% a menudo %on ba%ada% primariamente en e# inter5% de e%a parte3 donde cua#,uier dao e%tructurar ha e%a compa'a debe %er e-itado" 8e%triccione% ta#e% como #ega#idad + re#ati-idad cu#tura# a menudo determinan como e% #a &uncin de una %ociedad en #o% o7o% de otra" La% reg#a% 5tica% contin2an de%arro##/ndo%e continuamente" La% di&erencia% entre %ociedade% de -a#ore% 5tico% no %igni&ica ,ue una %ociedad e% me7or ,ue otra" A#guna% meta% a menudo e%t/n toda-'a %iendo a#can0ada%3 + e%ta% %on a#can0ada% en di&erente manera%" Ari%tte#e% e.p#ico #a 5tica de%de %u punto de -i%ta como un con7unto de reg#a% por #a% ,ue una -ida -irtuo%a puede %er guiada" 4n %u opinin3 una -ida 5tica debe de %er guiada con%cientemente3 %iendo in&ormado de toda% http //!!!"codigo#ibre"org $;
Antonio Perpian
#a% manera% re#e-ante% + pre%tando atencin a toda% #a% deci%ione% %ub%ecuente%" 4%ta de&inicin rudimentaria de 5tica puede tambi5n abarcar e# de%arro##o de #a tecno#ogia + %u% e&ecto%" 1i #a %ociedad de%eara u%ar #a% computadora% 5ticamente3 e%ta debe de tomar una deci%in con%ciente para hacer#o" Por e7emp#o3 %i un admini%trador de %i%tema no hace nada para proteger e# %i%tema + de%a&ortunadamente pa%a a#go en e# %i%tema3 e%to no %igni&ica ,ue e# admini%trador no ha actuado 5ticamente" 1in embargo3 %i un admini%trador e%ta a# tanto de agu7ero% de %eguridad en e# %i%tema3 + tiene #a %o#ucin actua# para %o#ucionar#o%3 + ocurre un prob#ema3 e%te admini%trador %i e%ta cometiendo &a#ta% de 5tica" Para actuar con 5tica %e re,uiere moti-acin con%ciente + tambi5n re,uiere un indi-iduo ,ue actu5 ba%ado en #a in&ormacin di%ponib#e" Lo% admini%tradore% de %i%tema% act2an 5ticamente cuando %iguen un cdigo ,ue ha %ido determinado para guiar#o% a #a direccin m/% ben5&ica hacia #a empre%a ,ue #e de-enga un %ue#do por %u% %er-icio%" 1i e# admini%trador tiene conocimiento de# re%u#tado de a#guna accin + e%te -ar'a par aun cdigo determinado3 %e puede con%iderar como un acto no 5tico" Lo% admini%tradore% deben de e%tar di%pue%to% a incorporar pauta% 5tica% en %u% #abore% admini%trati-a% + agregar #a% pauta% documentada%3 e.perimentada% + me7or conocida%" 1i e%to e% hecho3 cuando e##o% %e encuentren en po%icin de hacer un 7uicio e%pec'&ico3 #a me7or deci%in puede %er hecha" Para reiterar3 e%ta e% #a moti-acin + #a imp#ementacin de e%te admini%trador %obre e# %i%tema %e de&ine como un traba7o rea#i0ado 5ticamente" :L"# ;!()"# #e A/0()" 1 Internet ha #e-antado preocupacin %obre #a importancia + re%peto de propiedade% de Patente3 8egi%tro + Karca%" Internet pro-ee un medio en e# cua# e# u%o de e%ta% propiedade% %e con&unden en una pr/ctica de u%o com2n" Un %imp#e c#ic6 de# mou%e puede a menudo re%u#tar en una -io#acin de #a #e+ o e%tatuto% e%tab#ecido%" Otro tema 5ticamente cue%tionab#e de%can%a en e# /rea entre traba7o + p#acer" 4n mucho% ambiente% pro&e%iona#e%3 #o% emp#eado% -eri&ican #o% emai#% + otra% tarea% per%ona#e%" Poco% con%ideran e%to no 5tico +a ,ue e%t/n u%ando e# tiempo de #a empre%a" C1eria 5tico para una compa'a prohibir e%toE La ra0n por #a moti-acin de #a compa'a deben %er e.aminada%3 %i #a deci%in &uera ba%ada en me7orar #a producti-idad + ,ui0/% proponer un tiempo en e# cua# #o% emp#eado% puedan -eri&icar #o% e>mai#% per%ona#e%3 a%' como #o% co&&ee brea6%3 para a%' de%arro##ar indi-iduo% producti-o% con me7or rendimiento" La% deci%ione% como e%ta% deben de %er %oportada% en un cdigo aceptado3 %in importar cua# pueda %er #a deci%in3 pero con #a nocin ,ue e# admini%trador debe no %o#o hacer cump#ir #a% reg#a% de comportamiento e%tab#ecido%3 %ino e# tambi5n %eguir#o%" E!()"# /"r" 0,# A+&( (#!r"+,re# +e S(#!e&"# No %#o debe un Admini%trador de 1i%tema% e%tar preparado para tomar deci%ione% para minimi0ar ,ue #o% %i%tema% e%t5n &uera de %er-icio3 #o% admini%tradore% deben adema% tener #a% herramienta% nece%aria% para tomar un deci%in aceptada" 4%te manua# apunta a preparar a un admini%trador de %i%tema% para apro.imar %ituacione% cue%tionab#e% con con&ian0a + conocimiento ba%ado en in&ormacione% circun%tancia#e% re#e-ante%" Con #a po%icin de un admini%trador de %i%tema% -iene e# reto de #a toma de deci%ione%" Lo% e&ecto% de una deci%in pobremente tomada puede %er co%to%o + puede en-o#-er repercu%ione% ,ue no han %ido pre-i%ta%" Lo% admini%tradore% de %i%tema% deben de hacer#o en %u #abor para emp#ear ra0one% cuando %on con&rontado% con deci%ione% di&'ci#e%" A menudo3 uno puede no tener #o% conocimiento% para %o#ucionar una incompatibi#idad de un e,uipo + otro3 pero cuando %e pre%enta con poder perder #a in&ormacin de un emp#eado3 #a e.actitud de #a deci%in e% crucia#" Un admini%trador de %i%tema% t'pico rea#i0a una -ariedad de tarea% importante%3 #a% cua#e% com2nmente caer'an en una de #a% %iguiente% categor'a% In%ta#ar + con&igurar 1i%tema% Operati-o% http //!!!"codigo#ibre"org $?
Antonio Perpian Admini%trar cuenta% de u%uario% + permi%o% 9acer cump#ir + ap#icar #a% po#'tica% de %eguridad Imp#ementar #a e%trategia de %i%tema% de bac6up Coti0ar + comprar %i%tema% + otro% recur%o% &'%ico% Optimi0ar #o% recur%o% de# %i%tema 1o#ucionar prob#ema%"
Dentro de toda% e%ta% tarea%3 un admini%trador %er/ con&rontado con -ario% di#ema%3 entre e##o% 5tico%" 4%te tema %er/ e.aminado en m/% deta##e en #a %eccin de L1o#ucin de Prob#ema%M" La% reg#a% de #a empre%a debe% inc#uir una %o#ucin propue%ta para deci%ione% tomada% en di&erente %ituacione% re#ati-a%3 + %ea#ar &actore% ,ue %on indi%cutib#e%" 9acer cump#ir un cdigo pro-eer/ #a ba%e de# conocimiento3 pero e%ta% po#'tica% deben %er %u&icientemente &#e.ib#e para abarcar todo% #o% ca%o% po%ib#e%" Donde pueda %er impo%ib#e con%truir una re%pue%ta apropiada para cada in%tancia3 #o% admini%tradore% ,ue di%ean e# cdigo para %er aprobado por todo% #o% u%uario% minimi0ar/ #a comp#e7idad de encontrar re%pue%ta% ,ue %e apeguen a# comportamiento 5tico" 4%ta% reg#a% deben de %er un con7unto de pauta% ,ue e# admini%trador de %i%tema% pueda hacer cump#ir re%pon%ab#emente" 4%a% #abore% re,uieren una deci%in 5tica en orden de %er rea#i0ada% apropiadamente con re%pecto a #o% u%uario% a a# %i%tema computaciona#" C, !r,0 +e I ',r&")(* 9a+ mucha% #e+e% para #a proteccin de #a propiedad" 1in embargo3 con #a pro#i&eracin de #a% computadora%3 e%ta propiedad e%ta con%tantemente en rie%go de %er %u%tra'da o u%ada de manera inapropiada" Archi-o% de audio3 pe#'cu#a% + #ibro% ,ue tienen dueo + derecho% de autor por indi-iduo% +/o corporacione% %e han -ue#to abierto% a# robo + a #a #ectura de%autori0ada" Kientra% cierta% #e+e% proh'ben e# robo de dato3 ha+ tecno#og'a% pre%ente% para e-adir #a% #e+e%" A menudo3 a#guna% #e+e% prueban %er ambigua% o no c#ara% + re%u#tan de pobre ap#icacin" 4n cada ca%o3 #o% u%uario% toman una deci%in + 7u%ti&ican %u% accione% para e# u%o de e%ta% in&ormacione%" La% deci%ione% de un admini%trador deben de %eguir #a% #e+e% e%tab#ecida% para gobernar a #o% u%uario% + #a% deci%ione% deben %er tomada% re%petando #o% derecho% + #ibertade% ,ue han %ido dado% a #o% u%uario% de #o% computadore%" Konitoreando #o% dato% p2b#ico% ,ue pa%an a tra-5% de# %er-idor puede %er permitida para accione% particu#are%3 donde #o% dato% contenido% en un archi-o de emai# de# u%uario debe de %er con%iderado propiedad pri-ada" in&ormacione% ta#e% como #o ,ue e% de%cargado + %u% or'gene% pueden %er 7u%ti&icab#emente e.aminado% en orden de #ega#mente proteger #o% derecho% de autor" La% po#'tica% pueden %er imp#ementada% para pre-enir e%a% medida%3 ta#e% como b#o,uear cierto% %itio% (a tra-5% de &ire!a##%* e in&ormando a #o% u%uario% ,ue cierto% tipo% de archi-o% no %er/n permitido% en e,uipo% e%pec'&ico%" 1e puede in&ormar a #o% u%uario% ,ue %er/ permitido a#macenar en un %i%tema para a%' e# admini%trador tener un acuerdo tangib#e ,ue debe de pre-enir ma# entendido% + e# abu%o de #o% recur%o% de# %i%tema" Re#/e!, " 0,# U#u"r(,# +e0 S(#!e&" 4% una #abor de #o% admini%tradore% de %i%tema% mantener todo% #o% materia#e% i#ega#e% &uera de# %i%tema" 4% tambi5n una #abor de# admini%trador de %i%tema% no -io#ar #o% derecho% indi-idua#e% de #o% u%uario%" A%'3 un archi-o de u%uario debe de %er con%iderado pri-ado a# meno% de ,ue ha+a una e-idencia de ,ue e%te e%ta actuando de manera irre%petuo%a hacia otro indi-iduo o a #a propiedad de #a compa'a" Cuando ha+ una e-idencia de abu%o en e# %i%tema3 e% tambi5n #a #abor de# admini%trador in&ormar#e a# u%uario ,ue %u in&ormacin per%ona# nece%ita %er e.aminada" Un e7emp#o de un cdigo ,ue protege #o% derecho% de u%uario puede contener e%te e%tamento" La e.p#oracin de #o% archi-o% per%ona#e% de un u%uario debe %o#o %er hecha de%pu5% de ,ue e# http //!!!"codigo#ibre"org $@
Antonio Perpian
u%uario e% in&ormado %obre dicha in-e%tigacin + de %u% prop%ito%" Un admini%trador %o#o debe tomar accione% para in-adir #o% derecho% de un u%uario %i e-idencia% indi%cutib#e% e.i%ten imp#icando una ma#a conducta con%ciente" 4%te tipo de interaccin + ap#icacin de un cdigo &undamenta# pro-ee una manera 5tica para #o% admini%tradore% de %i%tema% mantener #a pre-encin de #a acti-idad i#ega# o de ,ue materia#e% %ean a#macenado% en #o% %i%tema% ba7o %u cuidado" 4# pa%o tomado cuando ta#e% abu%o% ocurren dependen de# admini%trador de %i%tema% + #a compa'a" 1in embargo3 uno debe de e.aminar todo% #o% a%pecto% de cua#,uier %ituacin re#acionada a# abu%o de# %i%tema para a%' 7u%ti&icar una deci%in ,ue -a a %er hecha apropiadamente" 4%a% deci%ione% #uego deben de %er %oportada% por #a% reg#a% acordada% por e# admini%trador de %i%tema% + #a %ociedad a #a cua# e# admini%trador pertenece" Kientra% e# archi-o de un u%uario + #a% acti-idade% %on admini%trada%3 #o% admini%tradore% de %i%tema% deben de %er re%pon%ab#e% de %u% accione% u%ando %i%tema% 5tico%" Un admini%trador de %i%tema% e% emp#eado para proteger + admini%trar un %i%tema + %e #e% da acce%o a todo% #o% a%pecto% de# %i%temaI por #o tanto3 #a e.trema con&ian0a debe de %er dada para mantener e# %i%tema" A menudo una -io#acin 5tica por un admini%trador puede manipu#ar #o% archi-o% de# u%uario3 cambiando no %o#o #a identidad de #o% u%uario% pero e# ambiente din/mico + #ibre en ,ue e##o% traba7an" 1i un admini%trador de%ea3 puede tener #a habi#idad de daar %eriamente e# %i%tema de #a compa'a u%ando %u% recur%o% para crac6ear contra%ea% o ganar acce%o no autori0ado" Kientra% e%a% medida% parecen e.trema%3 #a indu%tria computaciona# e%pera con&iar en #o% admini%tradore% de %i%tema% con %u in&ormacin m/% %en%ib#e e importante" S(!u")(* E!()"&e !e H(/,!;!()" /"r" u A+&( (#!r"+,r +e S(#!e&"# Aun,ue no #o crea en #a 4ra de #a in&ormacin3 u%ted encontrar/ %ituacione% donde tendr/ ,ue con&iar meno% en %u #gica3 ,ue %u% habi#idade% computaciona#e% + depender de# %entido com2n3 5tico3 mora# + #ega#" Como Internet e%ta toda-'a en %u in&ancia3 nue-a% pregunta% %er/n conte%tada% cada d'a %obre como debemo% mane7ar e# -a%to monto de in&ormacin di%ponib#e" Con%idere #a% %iguiente% %ituacione% hipot5tica% Kientra traba7a% en e# %i%tema de un compaero de traba7o3 u%ted encuentra a#g2n dato ,ue e% i#ega# po%eer#o" 1i e% %o&t!are pirateado3 pornogra&'a3 in&ormacin terrori%ta3 etc"3 CDu5 har'a%E Como un admini%trador de %i%tema%3 u%ted tiene acce%o a #o% archi-o% de# %er-idor #o% cua#e% contienen in&ormacin %ecreta de #a corporacin" Aun,ue %u ro# e% %imp#i&icar #a admini%tracin de #o% archi-o%" U%ted nece%ita proteger%e de cua#,uier repercu%in ,ue puede pa%ar %i u%ted e%tu-iera -iendo #a in&ormacin actua# ,ue contienen e%o% archi-o%E 1u compa'a tiene e%tricta% po#'tica% prohibiendo e# u%o de #o% e,uipo% de #a corporacin para u%o per%ona#" Como admini%trador de rede%3 %u traba7o e% mantener #a integridad de e# ancho de banda" Oca%iona#mente3 %in embargo3 u%ted e%cribe una #etra en %u computador per%ona# + #a en-i/ de%de e# traba7o a %u hi7o e# cua# -a a un co#egio en otro e%tado" 4%ta u%ted -io#ando #a% mi%ma% po#'tica% #a% cua#e% u%ted tiene %upue%to hacer cump#irE A#guien #e hace un o&erta de -ender a#g2n cdigo de un %o&t!are ,ue &ue e%crito en una #aptop ,ue e% de propiedad de %u emp#eador actua#" Aun,ue e%te &ue e%crito en ca%a3 en %u tiempo #ibre3 + no tiene nada ,ue hacer con e# negocio de %u emp#eador3 Duien #e pertenece #eg'timamente e# cdigoE Aun,ue e%a% %on %ituacione% hipot5tica%3 u%ted encontrara %ituacione% %imi#are% donde u%ted e%ta &or0ado a decidir entre #o bueno + #o ma#o3 #ega# e i#ega#" )ambi5n ha+ /rea% gri%e% donde #a re%pue%ta no e%ta concreta" 9a+ poca% #e+e% para proteger a #a% per%ona% + a #a% compa'a%3 ta#e% como #a pirater'a + #a% #e+e% de propiedad ,ue conciernen patente%3 derecho% de autor + regi%tro% de marca%" Pero para cada reg#a3 emergen docena% de e.cepcione%"
$J
Antonio Perpian
Como puede u%ted pre-enir %er una -ictima o e# perpetrador de ta#e% cr'mene%E La% %iguiente% %on a#guna% pauta% genera#e% ,ue pueden a+udar#o < U#"r e0 #e !(+, ),&= Cada d'a a u%ted %e #e pre%entan %ituacione% ,ue #o ob#igan con%iderar #a% imp#icacione% 5tica% de %u% acto%" Aun,ue #a% circun%tancia% pueden %er di&erente%3 #o bueno + #o ma#o e% u%ua#mente &/ci# de di%tinguir" 1i u%ted encuentra una %ituacin donde u%ted e%ta in%eguro de ,ue hacer3 con%idere e# pro + e# contra de cada e#eccin" 1i u%ted no puede %aber como tomar #a deci%in correcta3 con%u#te a un %uperior o a una de #o% recur%o% #i%tado% anteriormente en e%ta %eccin" < Se" ), #(#!e !e 1u compa'a debe de tener bien pen%ado %u% po#'tica%3 #a% cua#e% u%ted %eguir/ a# pie de #a #etra" 1o#o como %u Organi0acin puede tener po#'tica% ,ue gobiernen e# u%o apropiado de #a tecno#ogia de #a in&ormacin" Kucha corporacione% en-'an %on emp#eado% de I) ()ecno#og'a de #a In&ormacin* a %eminario% de entrenamiento para aprender como &i7ar #a% po#'tica% + agregar#e%" < C, ,)er 0"# 0(&(!")(, e# +e 0" !e) ,0,g3"# Aun,ue e.i%ten mucho% %igni&icado% de ,ue e% a%egurar #a in&ormacin3 u%ted nece%ita dar%e cuenta de ,ue una -e0 ,ue e# archi-o e% guardado o un men%a7e e% en-iado3 ha+ una buena po%ibi#idad ,ue #a in&ormacin pueda e%tar di%ponib#e para otro% + no %o#o para #a per%ona de%eada" 1iempre recuerde ,ue borrando un archi-o o men%a7e no %igni&ica ,ue nece%ariamente e%te %e ha ido para %iempre" Lo% 'teme% ,ue no aparecen en %u ma,uina #oca# puede re%idir en un %er-idor remoto de bac6up o en un medio remo-ib#e en cua#,uier otra parte" Una buena reg#a de pu#gar no e% teniendo cua#,uier archi-o o en-iando cua#,uier men%a7e ,ue u%ted no podr/ e.p#icar %u prop%ito en e# d'a po%terior" < C, ,)er 0"# 0e-e# De%de #a 8e-o#ucin Indu%tria# ha habido mucha% tecno#og'a% e in&ormacin apareciendo a un pa%o r/pido" Con toda e%ta nue-a in&ormacin -iene #a nece%idad de proteger a #o% indi-iduo% + grupo% de# ma# u%o de e%ta tecno#og'a" La% #e+e% ,ue gobiernan #a tecno#ogia cambia tan r/pido como #a mi%ma tecno#ogia3 haciendo ca%i impo%ib#e e# conocimiento de toda% #a% #egi%#acione% actua#e%" U%ted debe3 %in embargo3 mantener%e actua#i0ado con #a #e+e% computaciona#e% ,ue #o pudieran a&ectar" A,u' #e mo%traremo% mucho% recur%o% ,ue #o podr'an a+udar en %u b2%,ueda" Re)ur#,# 9one%tidad Inte#ectua# en #a 4ra de #a Computacion3 b+ Dr" Fran6 <" Conno##+ http://www.luc.edu/infotech/cease/honesty.htm 8e%pon%abi#idad 1ocia# para #o% Pre&e%iona#e% en a# Computacin http://www.cprs.org/ Computacion + %u% Le+e% http://samsara.law.cwru.edu/comp_law/ 4# Cdigo de 4tica% de# GNU La certificacin GNU/Linux es una de las pocas certificaciones que identifican y codifican la necesidad para definir ticas. I !r,+u))(* /Neg")(* 4# prop%ito de pre%entar e%te cdigo e% pro-eer a# #ector con un an/#i%i% de e%t/ndare% aceptado% por #a indu%tria ,ue han %ido de%arro##ado por #a% %ociedade% pro&e%iona#e% computaciona#e% a tra-5% de# tiempo debido a %u -i%in" Lo% principio% ,ue e%tab#ecemo% a,u' &orman un marco para &aci#itar ,ue #a% deci%ione% a tomar %ean 5tica% pero no garanti0an una %o#ucin de&initi-a para toda% #a% %ituacione%" A menudo3 #a me7or %o#ucin puede %er obtenida incorporando #a% idea% pre%entada% a,u' con 7uicio per%ona# ra0onab#emente &undado" http //!!!"codigo#ibre"org $H
Antonio Perpian
Como un pro&e%iona# en I)3 me %ometer5 a #o %iguiente $" 8e%petar #a con&idencia#idad de #a in&ormacin en tema% ,ue %on con%i%tente% con e# inter5% p2b#ico" ;" In-e%tigar + reportar -io#acione% de #a% #e+e% de propiedad inte#ectua# e in&ormar a #a% parte% o&endida% o #a% parte% de cua#,uiera% de #a% in&raccione%" ?" Con&ormar para #o% e%t/ndare% pro&e%iona#e% apropiado% para #ograr #a% meta% e%peci&ica%3 e.cepto en %ituacione% 5ticamente 7u%ti&icab#e%" @" 4%&or0ar%e para ad,uirir conocimiento en mi campo + educarme en a,ue##a% nece%idade% ,ue nece%ite a+uda" J" 8eportar cua#,uier dato &raudu#ento o incorrecto e in&ormar a toda% #a% parte% in-o#ucrada%" H" A%egurar #o% con&#icto% de intere%e%3 #o% cua#e% no pueden %er e-itado% en una manera ra0onab#e3 %on re%ue#to% por #a co#aboracin entre toda% #a% parte% in-o#ucrada%" A" A%egurar ,ue toda% #a% parte% ,ue %e abra0an a #o% e%t/ndare% tienen e.po%icin 7u%ta + competencia de e%o% e%t/ndare% + %on pro-i%to de habi#idade% para e.pre%ar %u% opinione% + preocupacione% %obre ta#e% e%t/ndare%" B" No promocionar #o% intere%e% per%ona#e% cuando %e toman deci%ione% para #a compa'a" O" Dar cr5dito ra0onab#e a toda% #a% parte% in-o#ucrada%" $G" Kantener #o% acuerdo% con e# cop+#e&t de# GNU" $$" Pre%er-ar #a integridad + #a %eguridad de #a in&ormacin $;" =era0mente repre%enta #a% habi#idade% + capacidade%" C*+(g, +e E!()" >ISC? @ 4# con%orcio Internaciona# de Certi&icacione% de 1eguridad de 1i%tema% de In&ormacin (I1C*; e% una organi0acin %in &ine% de #ucro &ormada en e# $OBO para de%arro##ar un programa de Certi&icacin de Practicante% de #o% 1eguridad de 1i%tema% de In&ormacin (CI11P*" (I1C*; ha codi&icado e# cdigo de 5tica% de #o% pro&e%iona#e% de #a %eguridad como %igue (http //!!!"i%c;"org/code"htm#*" 9a+ %o#o cuatro mandamiento% cannico% en e# cdigo" Por nece%idad ta#e% direccione% de a#to ni-e# no eran pen%ado% para %u%tituir#o% por #o% 7uicio% 5tico% de #o% pro&e%iona#e%" Direccione% adiciona#e% %on pro-i%ta% por cada una de #a% canon%" Kientra% e%ta% direccione% pueden %er con%iderada% por #a comiti-a de par/metro% de conducta%3 e% con%u#ti-o ma% bien ,ue ob#igatorio" 4%te e% pen%ado para a+udar a #o% pro&e%iona#e% en identi&icar + re%o#-er #o% di#ema% 5tico% ine-itab#e% ,ue #o con&rontaran" !re"m#ulo de los cdigo ticos: 1eguridad de #a abundancia com2n3 deber a nue%tro% principio% + para cada otro re,uerimiento ,ue no%otro% agregamo% + parece %er ,ue agregaremo%3 a #o% m/% a#to% e%t/ndare% de comportamiento 5tico" Por #o tanto3 adherencia terminante a e%te cdigo e% una condicin de #a certi&icacin" $digo de %tica $"nones: Proteger #a %ociedad3 #a abundancia com2n + #a in&rae%tructura" Actuar de &orma honorab#e3 hone%ta3 7u%ta3 re%pon%ab#e + #ega#" Proporcionar un %er-icio di#igente + competente a #o% principa#e%" A-an0ar + proteger #a pro&e%in" Direccione% adiciona#e% e% de%crita en e# cdigo para deta##ar ,ue e# CI11P debe de actuar en una manera #ega# + atenta de #a reputacin de una Organi0acin + reportar %ituacione% + acto% de una manera t5cnica + competente3 e-itando e# abu%o de #a in&ormacin con&idencia#3 + e-itando ubicar%e en una po%icin donde http //!!!"codigo#ibre"org $A
Antonio Perpian pueden %er un con&#icto de intere%e%"
Un e#emento intere%ante de# cdigo (I1C*; e% ,ue e%te anima e# abandonar3 o de7ar un traba7o donde e# admini%trador re,uiere un emp#eado para no actuar con 5tica en orden de recordar un emp#eado"
E,aluaci+n de Ries'o
A#macenar e%tad'%tica% para pre-enir &uturo% ata,ue% %iempre %er/ un arte imper&ecto + e.actamente ,ue e% #o ,ue #a% e%ta% e%tad'%tica% a#macenan por -ario% a%pecto% rea#mente %igni&ica ,ue %iempre e%tar/ abierto a cue%tionamiento" 4# guardar in&ormacin para u%ar#a en contra de ata,ue% e% di&'ci# a# meno% ,ue u%ted cono0ca como categori0ar #o% ata,ue% + contar#o% de una manera %i%tem/ticamente" )oda-'a3 a%egurar comp#etamente %u %i%tema e% impo%ib#e" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin 4# mito de #a %eguridad $GGS Atributo% de una Katri0 de 1eguridad 4&ecti-a Due e%ta% tratando de proteger Duien e% #a amena0aE 4%tad'%tica% de Crac6er% E0 M(!, +e 0" Segur(+"+ 1778 La conecti-idad imp#ica rie%go%" 1i u%ted permite a u%uario% #eg'timo% acce%o a %u computador o rede%3 #a oportunidad de abu%o e.i%te" Un dicho popu#ar e% ,ue e# 2nico computador %eguro e% a,ue# ,ue ha %ido de%conectado de #a red3 apagado o encerrado en una ca7a de %eguridad con #a ##a-e perdida" Aun,ue e%ta %o#ucin puede hacer a# computador %eguro3 pero tambi5n hace ,ue e# computador %ea in2ti#" 1in embargo3 aun,ue u%ted nunca a#cance un punto de %eguridad comp#eto3 u%ted puede a#can0ar un ni-e# ,ue pre-enga #a% m/% determinada% habi#idade% de #o% crac6er% para ,ue acce%en a %u %i%tema" La% t5cnica% apropiada% de %eguridad pueden minimi0ar #o% e&ecto% negati-o% de #a acti-idad de un crac6er en %u organi0acin" Acerca de #a %eguridad de Internet3 u%ted puede u%ua#mente re%tringir #o% permi%o% en #a% rede% a #o% u%uario% #eg'timo%3 de e%ta manera e##o% pueden cump#ir %u% tarea% pero no tienen m/% acce%o ,ue e# nece%ario" 4# re%u#tado de e%ta %imp#e medida e% ,ue %i un crac6er puede robar e# identi&icador #eg'timo de un u%uario + entrar a# %i%tema3 e%te e%tar/ di%ponib#e de %o#o ganar acce%o %o#o a# ni-e# autori0ado a e%e u%uario" )a#e% re%triccione% puede #imitar cua#,uier dao po%ib#e ,ue e# crac6er puede cau%ar u%ando e# nombre de u%uario + #a contra%ea %u%tra'da" Segur(+"+ ),&, B"0" )e Un principio c#a-e de %eguridad e% u%ar %o#ucione% ,ue %on e&ecti-a% pero no cargan a #o% u%uario% #eg'timo% #o% cua#e% de%ean acce%ar a #a in&ormacin nece%itada" 4ncontrar rea#mente manera% de ap#icar e%to% principio% e% a menudo un acto di&'ci# de ba#ancear" 4%ta nece%idad de ba#ance ap#ica e%pecia#mente a #a %eguridad de# u%o de Internet" 4% ab%o#utamente &/ci# emp#ear t5cnica% de %eguridad ,ue %e con-ierte en una tota# indi&erencia a# comportamiento prudente #eg'timo de #o% u%uario% + ,ue e-ite todo% #o% protoco#o% de %eguridad" Lo% crac6er% %iempre e%t/n a# a%echo + preparado% para capita#i0ar en ta#e% acti-idade% aparentemente inocente%" A%'3 tambi5n e% ap#icar una po#'tica re%tricti-a e.tra-agante de %eguridad ,ue puede re%u#tar en meno% e&ecti-a #a %eguridad a# &ina# +a ,ue e% tan tedio%a ,ue e%tamo% %eguro% pero #a empre%a no rinde + re%u#ta en perdida% a# igua# ,ue %i u%ted no tiene ninguna po#'tica de %eguridad"
$B
Antonio Perpian
U%ted %iempre tiene ,ue con%iderar e# e&ecto de ,ue %u po#'tica de %eguridad tendr/ u%uario% #eg'timo%" 4n #a ma+or'a de #o% ca%o% e# e%&uer0o re,uerido por %u% u%uario% e% ma+or ,ue e# incremento re%u#tado en %eguridad3 %u% po#'tica% rea#mente reducir/n e# ni-e# e&ecti-o de %eguridad de %u compa'a" A!r(4u!,# +e u " M"!r(6 +e Segur(+"+ E'e)!(A"# Aun,ue #o% componente% + con&iguracione% de un %i%tema de %eguridad -ar'an de compa'a a compa'a3 -aria% caracter'%tica% %iguen %iendo con%tante" Una matri0 con&iab#e de %eguridad e% a#tamente %egura + &/ci# de u%arI e%te tambi5n tiene un co%to ra0onab#e" Una matri0 de %eguridad e%ta compue%ta de caracter'%tica% de %eguridad de %i%tema% operati-o% indi-idua#e%3 %er-icio% de #og% (regi%tro%* + e,uipo% adiciona#e% inc#u+endo &ire!a##%3 %i%tema% de deteccin de intru%o% + e%,uema% de auditoria"
Atributo Permite e# Contro# de Acce%o De%cripcin F/ci# de U%ar Co%to Apropiado de Propiedad F#e.ib#e + 4%ca#ab#e 8eporte + a#arma 1uperior U%ted debe de a#can0ar %u% meta% de %o#o permitir e# acce%o a #o% u%uario% #eg'timo%" U%ted debe de minimi0ar #a habi#idad de comunicacin mientra% minimi0a #a po%ibi#idad de acce%o de #o% crac6er%" U%ted ha minimi0ado #a po%ibi#idad de dao% en e# e-ento de acce%o de #o% crac6er%" 1i un %i%tema de %eguridad e% di&'ci# de u%ar3 emp#eado% encontraran #a manera de e-itar#o" U%ted ha a%egurado ,ue #a inter&a0 e% intuiti-a" U%ted ha con%iderado no %o#o e# co%to de #a compra inicia#3 pero tambi5n e# precio de #a me7ora + %er-icio%" U%ted tambi5n ha con%iderado e# co%to de admini%tracin" Cuanto% emp#eado%3 ,ue ni-e# de habi#idad3 %er/ nece%ario imp#ementar + mantener e# %i%tema con 5.itoE 1u %i%tema #e permite a %u compa'a hacer negocio% de #a manera ,ue de%ea" 1u %i%tema crecer/ a%' como tambi5n #a compa'a crecer/" 4n e# e-ento de una brecha de %eguridad3 %u %i%tema noti&ica r/pidamente a# admini%trador + con %u&iciente% deta##e%" U%ted ha con&igurado e# %i%tema para ,ue #o a#erte tan e&icientemente como %ea po%ib#e" La% opcione% de noti&icacin inc#u+en a#erta% por emai#3 panta##a% de computadore%3 paginadore% a%' %uce%i-amente"
Una matri0 de %eguridad e% &#e.ib#e + e%ca#ab#e3 tambi5n tiene una capacidad %uperior de a#arma% + reporte%" La %iguiente tab#a re%ume #o% a%pecto% m/% importante% de un %i%tema de %eguridad e&ecti-o :Bu; e#!C U#!e+ Tr"!" +, +e Pr,!eger1 Ahora u%ted ,ue ha e%tudiado #o% principio% genera#e% en-ue#to% en un %i%tema de %eguridad3 e% hora de di%cutir ,ue rea#mente nece%ita proteccin" Como u%ted con%tru+o e# per&i# de %eguridad para %u red3 e% pro-echo%o c#a%i&icar %u% acti-o% en cuatro grupo% de &uente% 8ecur%o de u%uario &ina# (computador u%ado por #o% emp#eado%* 8ecur%o% de red (router%3 %!itche%3 cuarto de cab#eado + te#e&on'a* 8ecur%o% de #o% %er-idore% (inc#u+endo archi-o%3 DN13 <eb3 F)P + %er-idore% de emai#* A#macenamiento de recur%o% de in&ormacin (inc#u+endo ba%e% de dato% de comercio e#ectrnico Re)ur#,# +e U#u"r(, 2( "0 A%egurece de ,ue ha habi#itado #o% miembro% de %u Organi0acin para proteger %u% e%tacione% de traba7o" No todo e# dao a %u% recur%o% e% e# re%u#tado de acti-idade% de u%uario% ma#icio%a%3 ni de crac6er% dentro de %u %i%tema" A menudo3 #o% computadore% %on daado% por un error %imp#e de# u%uario" http //!!!"codigo#ibre"org $O
Antonio Perpian
Por e7emp#o3 mucho% emp#eado% en gran parte incon%ciente de# pe#igro imp#icado en de%cargar archi-o% Acti-eX + u%ando #a% app#et% de Na-a" Otro% toda-'a no han habi#itado #o% %creen%a-er (protectore% de panta##a%* de c#a-e% para pre-enir ,ue %e hu%mee mientra% e%to% e%t/n &uera de #a o&icina aun,ue %ea por un pe,ueo periodo de tiempo" Lo% u%uario% tambi5n pueden inad-ertidamente de%cargar -iru% + tro+ano%3 de ta# modo comprometiendo #a% habi#idade% de %u red" Un tro+ano e% un archi-o o programa ,ue pretende operar en una manera #egitima pero tambi5n tiene una a#ternati-a3 operacin %ecreta3 ta#e% como en-iar in&ormacin %en%ib#e de #a compa'a a un crac6er -'a emai#" 1in embargo3 #o% emp#eado% pueden me7orar #a %eguridad a%egur/ndo%e %e ,ue %u% na-egadore% e%t5n con&igurado% con #o% par/metro% m/% %eguro% para Acti-eX + Na-a" U%ted tambi5n debe a%egurar%e de ,ue cada emp#eado u%a un anti-iru% + ob%er-e #a% precaucione% cuando e%ta de%cargando cua#,uier co%a de%de e# Internet" Protegiendo #o% recur%o% #oca#e% e% en gran parte una &orma de educar a #o% u%uario% indi-idua#e% %obre ap#icar t5cnica% de %eguridad &/ci#mente" 1in embargo3 #a %eguridad de Internet en-ue#-e m/% ,ue proteger #o% recur%o% indi-idua#e%" Re)ur#,# +e Re+ 1u% rede% %on #o% medio% primario% de comunicacin para #a compa'a comp#eta" 1i un u%uario gana acce%o o contro# a %u red3 o e%te ha acce%ado a todo% o #a ma+or'a de #o% dato% de #a compa'a" U%ted debe de e%tar a# tanto de ,ue mucho% crac6er% pueden imitar cua#,uier di%po%iti-o de Protoco#o de Internet (IP* ,ue tiene una direccin IP" L#amado 1poo&ing de IP3 e%ta acti-idad #e permite a #o% crac6er% ganar acce%o para enganchar un %i%tema de %poo&ing" Por ,ue #a proteccin no e%ta di%ponib#e en e# Protoco#o de Contro# de )ran%mi%in Protoco#o de Internet ()CP/IP*3 un crac6er puede tomar -enta7a% de cua#,uier di%po%iti-o ,ue no tiene #o% mecani%mo% e%pec'&ico% en %u #ugar" Otro recur%o de #a red inc#u+e ta#e% co%a% como #o% router%3 #o% cua#e% pueden %er -u#nerab#e% a ata,ue% + %nooping" Re)ur#,# +e0 SerA(+,r <or#d <ide <eb3 emai# + #o% %er-idore% de F)P %on -u#nerab#e% a -ario% tipo% de ata,ue%" )'picamente3 #o% %er-idore% pro-een #o% recur%o% para #a in&rae%tructura de #a red + %on #a centra# de %u% operacione%" 4%to% tambi5n contro#a% #a %eguridad de# %i%tema" Lo% crac6er% tratan de ganar acce%o a #o% recur%o% de #o% %er-idore% por ,ue e##o% pueden acce%ar + #uego contro#ar otro% recur%o%" Re)ur#,# +e A0&")e "&(e !, +e I ',r&")(* 9ot 1pot Amena0a Potencia#
8ecur%o% de u%uario Fina# =iru%3 tro+ano% + app#et% pueden daar e# %i%tema #oca#" Lo% u%uario% &ina#e% tambi5n pueden introducir prob#ema% a tra-5% de acti-idade% i#'cita%" 8ecur%o% de 8ed 8ecur%o% de# 1er-idor La% :a%e de dato% 1poo&ing de IP3 %nooping de %i%tema + obtener in&ormacin" 4ntrada% no autori0ada%3 %er-icio% interrumpido% + tro+ano% (#o% recur%o% de %er-idore% %on e# b#anco principa# en #a ma+or'a de #o% ca%o%"* Obtener %ecreto% comercia#e%3 dato% de #o% c#iente% + #o% recur%o% de in&ormacin + a%' %uce%i-amente"
La &uncin m/% -ita# de cua#,uier compa'a e% como organi0a + di%tribu+e #a in&ormacin" La 2#tima meta de a#guno% crac6er% e% de%cubrir e%ta in&ormacin a%' como %obornar con #a% rede% + m5todo% ,ue a+udan a http //!!!"codigo#ibre"org ;G
Antonio Perpian
crear + comunicar #a in&ormacin" Lo% crac6er% de%ean in&ormacin por mucha% ra0one%" A#guno% %on %imp#emente curio%o% + otro% %on ma#icio%o%" Otro% toda-'a de%ean e%conder%e + rea#mente e%t/n practicando en un e%piona7e indu%tria#" La %iguiente tab#a #i%ta #a% -u#nerabi#idade% potencia#e% ,ue %on parte% de una red" :Bu(; e# u " A&e "6"1 La cu#tura popu#ar a menudo repre%enta a# crac6er como bri##ante ado#e%cente ,ue tiene prob#ema con #a autoridad" Aun,ue e%ta de%cripcin e% poca -ece% e.acta3 categori0ar a #o% crac6er% en t5rmino% de %u% actitude% + moti-acione% e% probab#emente m/% con-eniente" Acti-idade% ma#icio%a% ocurren por un n2mero de ra0one%" 1in embargo3 e%ta% acti-idade% t'picamente caen dentro de tre% amp#ia% categor'a% ,ue %on e# atacante ca%ua#3 e# atacante determinado + #o% e%p'a%" Dui0/% #o m/% importante a con%iderar cuando %e e%ta tratando de a%egurar %u compa'a e% identi&icar e# tipo ,ue e# crac6er ,ue u%ar/ %u compa'a como b#anco + anticipar cua# e% #a actitud de e%te crac6er" E0 A!")" !e C"#u"0 4# atacante ca%ua# e% a#guna% -ece% un bu%cador de in&ormacin3 pero m/% a menudo e% un bu%cador de emocin" 4# atacante ca%ua# tiene #o ,ue puede %er ##amado como una menta#idad 4-ere%t" 4n otra% pa#abra%3 e# atacante ca%ua# e%ta crac6iando %u %i%tema %imp#emente por ,ue e%te e%ta ah'" 4##o% pueden %er detenido% con una ap#icacin apropiada de %eguridad3 e%pecia#mente %e e%ta po#'tica de %eguridad e%peci&ica ,ue u%ted #o encuentra + #e re%ponde a# crac6er" A#guno% atacante% ca%ua#e% %on ado#e%cente% tra-ie%o% con acce%o a una cone.in a #a red" 4.i%te una gran cantidad de rede% %ubterr/nea% de e%o% atacante%" A!")" !e# De!er&( "+,# Lo% crac6er% determinado% ganaran acce%o a %u %i%tema cue%te #o ,ue #e cue%te3 %in importar #o% ni-e#e% de di&icu#tad3 o #a% con%ecuencia% ,ue %u% acto% #e% cau%en" 4%te tipo de crac6er% #ograr/ acce%ar por Internet3 o -'a un emp#eado3 a tra-5% de# Lcrac6ing %ocia#M" Lo% Crac6er% tienen e# acce%o a m5todo% probado% + herramienta% e%pec'&icamente di%eada% para permitir#e% e# acce%o a %u% red" 4n rencorO de %u e,uipamiento e&ecti-o + c#ara% po#'tica% de %eguridad3 e# tipo de determinacin de un crac6er + #a buena -o#untad de un emp#eado cua#,uier m5todo e-entua#mente guiara a #ograr#o" Lo% crac6er% determinado% a menudo acce%ar/n i#ega#mente a %i%tema% a#tamente %o&i%ticado% para probar %u -a#or de crac6er" )'picamente3 e%o% crac6er% no e%t/n &uera de de%truir in&ormacin3 pero a menudo obtendr/n in&ormacin %obre %u compa'a + #a% rede% %o#o por,ue e##o% pueden3 pero no #a uti#i0aran para cau%ar ningun dao adiciona#" Lo% crac6er% determinado% tienen mucha% moti-acione%3 ta#e% como a#macenar in&ormacin para ra0one% per%ona#e%" Un crac6er puede %er un emp#eado di%gu%tado3 mientra% ,ue otro puede %er moti-ado por re%entimiento hacia grande% empre%a% o gobierno% por #ucha% po#'tica% o de idea#e%" Kucho% ata,ue% %on e# re%u#tado de# inter5% de# crac6er en e#iminar #a pre%encia de #o ,ue puede %er un contenido contro-er%ia# o ob7etab#e" Otro% Crac6er% tienen moti-acione% ba%ada% en idio%incra%ia%3 #a% cua#e% pueden e%tar ba%ada% en un inter5% en a#can0ar &ama + g#oria3 una nece%idad de ganar un %entido de rea#i0acin3 nece%ita demo%trar %u% habi#idade% en #a red" )a#e% moti-o% pueden e.p#icar #a ma+or'a de# gra&&iti o Lde&acingM de #a <eb ,ue e%ta ocurriendo ma% + ma% a menudo" L,# E#/(C# Lo% e%pi/% tienen b#anco% e%pec'&ico% + de%ean ganar in&ormacin o interrumpir %er-icio%" Kucho% de e##o% %on &inanciado% + por e%to %ue#en tener acce%o i#imitado% a recur%o%" La% moti-acione% primaria% para #o% e%pi/% inc#u+en ganar dinero + de&ender creencia% o po%tura% ideo#gica%" 4%o% crac6er no %e detienen en nada para http //!!!"codigo#ibre"org ;$
Antonio Perpian
obtener acce%o a #a% rede% ,ue tienen como b#anco" La% compa'a% intere%ada% en e# e%piona7e indu%tria# + a#guno% gobierno% a menudo &inancian a e%to% grupo% e%pi/%3 pero a#guno% e%pi/% %on mercenario% ,ue traba7aran a %er-icio de# me7or po%tor" 4n #o% cap'tu#o% po%teriore% %e di%cutir/ como imp#ementar &ire!a## + o&recer manera% e%peci&ica% de de&ender%e en contra de #o% crac6er%" Cuando e.i%te %o%pecha de# ata,ue eminente de un crac6er3 #a ob%er-acin + %uper-i%in %on #a% herramienta% m/% importante%" Con una %uper-i%in apropiada3 u%ted de%cubrir/ + detendr/ un crac6er #o m/% r/pido po%ib#e" 4n cap'tu#o% po%teriore% di%cutiremo% p#ane% para ,ue u%ted pueda re%ponder a# crac6er + u%ted debe regi%trar e%ta% acti-idade%" A#guna% -ece%3 en ca%o% e.tremo% e% nece%ario contactar a #a% agencia% de ap#icacin de #a #e+3 dependiendo de# pa'% donde %e encuentre3 en #a 8ep2b#ica Dominicana un %itio ,ue puede comunicar adema% de #a &i%ca#ia + e# Indote#" E#!"+3#!()"# +e 0,# Cr")Der# 4n rencor de #a% repre%entacione% rom/ntica% de #o% crac6er% en #a% pe#'cu#a% ta#e% como 1nea6er%3 9ac6er% + Guerra de #o% Nuego%3 #a acti-idad crac6er e%ta demo%trado ,ue e% co%to%a" De acuerdo con e# In%tituto de 1eguridad Computaciona# + e# Grupo de 8e%pue%ta a 4mergencia% Computaciona#e% (C48)*3 e# crac6ing e%ta en crecimiento + %e e%ta con-irtiendo cada -e0 m/% de%tructi-o" C48) ha pro-i%to #a% %iguiente% e%tad'%tica% para mo%trar #o% e&ecto% de #a acti-idad crac6er Uno de cada cinco %itio% en Internet ha e.perimentado una brecha de %eguridad" Perdida% debido a #a% brecha% de %eguridad %on e%timada% a U1P$G bi##one% de do#are% anua#mente" Lo% intru%o% %e han incrementado un e%timado de JGS en e# ao pa%ado"
De acuerdo con un 4.amen rea#i0ado a A@J Pro&e%iona#e% de I) en e# $OOO conducido por #a re-i%ta de In&ormacin de 1eguridad (!!!"in&o%ecurit+mag"com*3 e# J;S de #o% e.aminado% ha e.perimentado a#guna &orma de ata,ue3 intru%o% o %a#ida de in&ormacin propietaria en #o% $; me%e% anteriore%" La ma+or'a de #o% ata,ue% no &ueron conducido% por -'a e.terna3 %ino por emp#eado% ubicado% dentro de #a mi%ma red" 4# co%to tota# de dao% cau%ado por intru%o%3 c#aro #o% ,ue han %ido de%cubierto%3 e.ced'an #o% U1P;? mi##one% de do#are% en e%e mi%mo ao" 4%ta% ci&ra% no inc#u+en #o% incidente% no reportado% o de%conocido%" La comunidad de )I ha re%pondido a e%to% ata,ue%" La ma+or'a de #a% empre%a% han creado po#'tica% de %eguridad" La% empre%a%3 organi0acione% + %itio% comercia#e% en #'nea e%t/n imp#ementando Fire!a##%3 1i%tema% de Deteccin de Intru%o% + programa% para a+udar a a%egurar %u% acti-idade% en #a red" 1in embargo3 de acuerdo con un articu#o en una re-i%ta de %eguridad3 e%ta% medida% no han detenido #o% ata,ue%" La continuacin de #o% ata,ue% e% generado debido a Lo% ata,ue% %on cada -e0 m/% %o&i%ticado% + e# a-ance r/pido de #a% tecno#og'a% ba%ada% en Internet" 1obrecarga de# per%ona# I) + #a carencia de &ondo% para obtener recur%o% adiciona#e%" De%p#iegue r/pido de #o% %i%tema% ,ue no han %ido %u&icientemente %eguro%"
Estndares de Se'uridad
Para comp#etar nue%tra di%cu%in de #a %eguridad b/%ica3 debemo% mencionar -ario% e%t/ndare% ,ue nacen para a+udar a pro-eer %eguridad" 4# documento de #a Organi0acin Internaciona# de e%tandari0acin (I1O* A@OB> ; LAr,uitectura de 1eguridadM de&ine #a %eguridad en como minimi0ar #a% -u#nerabi#idade% de acti-o% + recur%o%" Un acti-o e% de&inido como cua#,uier co%a de -a#or" Una -u#nerabi#idad e% cua#,uier debi#idad ,ue pude %er e.p#otado para -io#ar e# contenido de un %i%tema de in&ormacin" La I1O c#a%i&ica a #o% ata,ue% tanto accidenta#e% o intenciona#e% + acti-o% o pa%i-o%" La% amena0a% http //!!!"codigo#ibre"org ;;
Antonio Perpian
accidenta#e% %on a,ue##a% ,ue e.i%ten %in intento% premeditado%" )a#e% ata,ue% como de%a%tre% natura#e%3 + %i%tema% ,ue &uncionan ma# caen dentro de e%te grupo" La% amena0a% intenciona#e% pueden e.tender%e de%de #a e.aminacin ca%ua# de dato% de computadore% + rede% ha%ta %o&i%ticado% ata,ue% u%ando conocimiento% e%pecia#e% de %i%tema%" La% amena0a% pa%i-a% no modi&ican #a in&ormacin contenida en e# %i%temaI ni %on cambiado% #a operacin ni e# e%tado de# %i%tema" La a#teracin de in&ormacin o cambio% a# e%tado de# %i%tema u operacione% e% con%iderado un amena0a acti-a a# %i%tema" 4n e%ta %eccin3 %e di%cuten #o% %iguiente% tema% 1er-icio% de 1eguridad Kecani%mo% de 1eguridad SerA()(,# +e Segur(+"+ 4# documento I1O A@OB>; de&ine cierto% %er-icio% de %eguridad para todo% #o% ni-e#e% de %i%tema% #oca#e% + remoto% + acce%o a #a% ap#icacione%" 4%to% %er-icio% %on tambi5n de%crito% en e# Kode#o de 8e&erencia de Intercone.in de 1i%tema% Abierto% (O1I*" La de&inicin e%ta re%umida en #a %iguiente tab#a" 4%to% %er-icio% %er/n e.aminado% con m/% deta##e% en otro% cap'tu#o% m/% ade#ante"
C, '(+e )("0(+"+: 8e,uiere ,ue #a in&ormacin %ea acce%ib#e 2nicamente por #a% entidade% autori0ada%" La con&idencia#idad de dato% %e ap#ica a todo% #o% dato% intercambiado% por #a% entidade% autori0ada% o ta# -e0 a %#o porcione% o %egmento% %e#eccionado% de #o% dato%3 por e7emp#o mediante ci&rado" La con&idencia#idad de &#u7o de tr/&ico protege #a identidad de# origen + de%tino(%* de# men%a7e3 por e7emp#o en-iando #o% dato% con&idencia#e% a mucho% de%tino% adem/% de# -erdadero3 a%' como e# -o#umen + e# momento de tr/&ico intercambiado3 por e7emp#o produciendo una cantidad de tr/&ico con%tante a# aadir tr/&ico e%purio a# %igni&icati-o3 de &orma ,ue %ean indi%tinguib#e% para un intru%o" La de%-enta7a de e%to% m5todo% e% ,ue incrementan dr/%ticamente e# -o#umen de tr/&ico intercambiado3 repercutiendo negati-amente en #a di%ponibi#idad de# ancho de banda ba7o demanda" 8e,uiere una identi&icacin correcta de# origen de# men%a7e3 a%egurando ,ue #a entidad no e% &a#%a" 1e di%tinguen do% tipo% de entidad3 ,ue a%egura #a identidad de #a% entidade% participante% en #a comunicacin3 mediante biom5trica (hue##a% dacti#are%3 identi&icacin de iri%3 etc"*3 tar7eta% de banda magn5tica3 contra%ea%3 o procedimiento% %imi#are%I + de origen de in&ormacin3 ,ue a%egura ,ue una unidad de in&ormacin pro-iene de cierta entidad3 %iendo #a &irma digita# e# mecani%mo m/% e.tendido" 8e,uiere ,ue #a in&ormacin %#o pueda %er modi&icada por #a% entidade% autori0ada%" La modi&icacin inc#u+e e%critura3 cambio3 borrado3 creacin + reactuacin de #o% men%a7e% tran%mitido%" La integridad de dato% a%egura ,ue #o% dato% recibido% no han %ido modi&icado% de ninguna manera3 por e7emp#o mediante un Lha%hM criptogr/&ico con &irma3 mientra% ,ue #a integridad de %ecuencia de dato% a%egura ,ue #a %ecuencia de #o% b#o,ue% o unidade% de dato% recibida% no ha %ido a#terada + ,ue no ha+ unidade% repetida% o perdida%3 por e7emp#o mediante Ltime>%tamp%M" O&rece proteccin a un u%uario &rente a ,ue otro u%uario niegue po%teriormente ,ue en rea#idad %e rea#i0 cierta comunicacin" 4%ta proteccin %e e&ect2a por medio de una co#eccin de e-idencia% irre&utab#e% ,ue permitir/n #a re%o#ucin de cua#,uier di%puta" 4# no repudio de origen protege a# receptor de ,ue e# emi%or niegue haber en-iado e# men%a7e3 mientra% ,ue e# no repudio de recepcin protege a# emi%or de ,ue e# receptor niegue haber recibido e# men%a7e" La% &irma% digita#e% con%titu+en e# mecani%mo m/% emp#eado para e%te &in" 8e,uiere ,ue e# acce%o a #o% recur%o% (in&ormacin3 capacidad de c/#cu#o3 nodo% de comunicacione%3 entidade% &'%ica%3 etc"* %ea contro#ado + #imitado por e# %i%tema de%tino3 mediante e# u%o de contra%ea% o ##a-e% hard!are3 por e7emp#o3 protegi5ndo#o% &rente a u%o% no autori0ado% o manipu#acin" 8e,uiere ,ue #o% recur%o% de# %i%tema in&orm/tico e%t5n di%ponib#e% a #a% entidade% autori0ada% cuando #o% nece%iten"
Au!e !()")(* :
I !egr(+"+:
N, re/u+(,:
C, !r,0 +e "))e#,:
D(#/, (4(0(+"+:
;?
Antonio Perpian
Me)" (#&,# +e Segur(+"+ De acuerdo con I1O3 un mecani%mo de %eguridad e% una tecno#ogia3 una parte de un %o&t!are o un procedimiento ,ue imp#ementa uno o m/% %er-icio% de %eguridad" La I1O c#a%i&ica #o% mecani%mo% como e%pec'&ico% o penetrante%" Un mecani%mo de %eguridad e%pec'&ico e% una tecno#ogia o parte de un %o&t!are ,ue %o#o imp#ementa un %er-icio de %eguridad a #a -e0" La encriptacin e% un e7emp#o de un mecani%mo de %eguridad e%pec'&ico" Aun,ue u%ted puede u%ar #a encriptacin para a%egurar #a con&idencia#idad de #o% dato%3 #a integridad de #o% dato% + e# no repudio (todo% #o% %er-icio%*3 #a t5cnica de encriptacin actua# ,ue u%a re,uiere di&erente% t5cnica% de encriptacin para imp#ementar cada %er-icio" Un mecani%mo genera# de %eguridad #i%ta procedimiento% ,ue a+udan a imp#ementar uno o m/% de #o% %er-icio de %eguridad a #a -e0" Otro e#emento ,ue di&erencia e# mecani%mo de %eguridad genera# de #o% mecani%mo% e%pec'&ico% e% ,ue #o% mecani%mo% genera#e% no ap#ican para cua#,uiera de #a% capa de# mode#o O1I" Lo% e7emp#o% de un mecani%mo per%ua%i-o inc#u+en
2u )(, "0(+"+ C, '("40e 4% cua#,uier procedimiento ,ue con%o#ida un mecani%mo e.i%tente" Por e7emp#o3 cuando u%ted actua#i0a #a pi#a )CP/IP o e7ecuta a#g2n %o&t!are para con%o#idar #a habi#idad para autenti&icar en %u %i%tema No-e##3 UNiX o Free:1D3 u%ted e%ta u%ando un mecani%mo per%ua%i-o" 4%ta e% #a habi#idad de detectar + reportar incidente% #oca#e% + remoto%" 4%te e% un mecani%mo ,ue #e permite monitorear + documentar %u% acti-idade% de red" 4%ta e% #a habi#idad de reaccionar a un e-ento3 inc#u+endo #a creacin de %o#ucione% a corto + #argo p#a0o para conocer #a% -u#nerabi#idade%" 4%ta tambi5n inc#uido #a habi#idad de reparar %i%tema% daado%"
De!e))(* +e EAe !,# R"#!r, +e I !erAe )(* Re)u/er")(* +e 0" Segur(+"+
Kucho% gobierno% + organi0acione% no har/n negocio% con otro% ,ue no e%t5n probado% con&orme #a %eguridad de un e%t/ndar de una tercera parte" La %eguridad e% a menudo una preocupacin regiona#3 %igni&ica ,ue -aria% indu%tria%3 organi0acione% + gobierno% naciona#e% tienen di&erente% procedimiento% + e%t/ndare% ,ue pro-een mode#o% de %eguridad e&ecti-o%" Lo% e%&uer0o% m/% reciente% prometen con crear un documento g#oba# de %eguridad I1O" Lo% %iguiente% documento% de criterio% no %on e%pec'&ico% para GNU/Linu.I e%to %igni&ica ,ue pro-eer/n un marco de traba7o para -ario% tipo% de rede% Criterio% de 4-a#uacin de )ecno#og'a% de In&ormacin de 1eguridad (I)14C* Criterio% de 4-a#uacin de 1i%tema% Computaciona#e% Con&iab#e% ()C14C* Criterio Com2n (CC* 4# Libro Naran7a Cr(!er(,# +e EA"0u")(* +e Te) ,0,g3"# +e I ',r&")(* +e Segur(+"+ Eur,/e" 4n 4uropa3 e# documento I)14C :1 AAOO de contorno% de amena0a% de red + -ario% contro#e% ,ue u%ted puede imp#ementar para reducir #a% probabi#idade% de un ata,ue ,ue #i%ia3 ta#e% como en %i%tema de contro# de acce%o3 e# u%o de una po#'tica de %eguridad3 + de medida% de %eguridad &'%ica%" 4%te de&ine #a% -u#nerabi#idade% como a a#go ,ue #o% admini%tradore% de %i%tema% deben de %er re%pon%ab#e%" 4%te caracteri0a #a% amena0a% como a#go %obre e# cua# tiene un poco de contro#" 4# documento :1 AAOO &ue re%crito en $OOO + deta##a #o% %iguiente% http //!!!"codigo#ibre"org ;@
Antonio Perpian
procedimiento% ,ue u%ted puede imp#ementar para a%egurar %u %i%tema Proce%o% de Auditoria 1i%tema% de archi-o% auditado% Determinacin de rie%go% Kanteniendo para e# contro# de =iru% Admini%tracin apropiada de #a in&ormacin I) con re%peto a #o% negocio% diario% + #o% tema% de %eguridad" Preocupacione% adiciona#e% inc#u+en comercio e#ectrnico (e>commerce*3 cue%tione% #ega#e% + m5todo% de reporte" Cr(!er(,# +e EA"0u")(* +e S(#!e&"# C,&/u!")(, "0e# C, '("40e# >TCSEC? 4n 4%tado% Unido%3 4# Centro de Naciona# de 1eguridad Computaciona# (NC1C* e% re%pon%ab#e de e%tab#ecer #o% criterio% de %eguridad para #o% denominado% producto% de computadore% con&iab#e%" 4# NC1C creado por e# )C14C3 e# e%t/ndar de# Departamento de De&en%a (DoD* J;GG";B3 para e# e%tab#ecimiento de ni-e#e% con&iab#e%" Lo% criterio% e%t/n pre-i%to% a indicar #a capacidad potencia# de %eguridad de un %i%tema + con%i%te en #a e&ecti-idad &unciona#idad de #a %eguridad" )C14C %ea#a -ario% grado% de %eguridad3 #o cua#e% -an de%de e# ni-e# A a# ni-e# D" Donde e# ni-e# D indica un %i%tema no %eguro + e# ni-e# A e% e# ni-e# de %eguridad m/% a#to + e% u%ado en computadore% mi#itare%" Lo% ni-e#e% A3 : + C tienen %ubni-e#e% num5rico%3 #o% cua#e% %on A$3 :$3 :;3 :?3 C$ + C;" Kientra% e# n2mero e% m/% ba7o3 me7or #a %eguridad3 como e% mo%trada m/% ade#ante" C0"#('()")(* A1 >MC%(&" Segur(+"+?: 4n e%te ni-e#3 #o% %i%tema% operati-o% e%t/n di%eado% de acuerdo a un mode#o matem/ticamente comprobado como %eguro (por e7emp#o3 e# %i%tema% de autenti&icacin por medio de ##a-e% p2b#ica% de Needham>1chroeder*" C0"#('()")(* BE >D,&( (,# +e Segur(+"+?: 4%to% %i%tema%3 aun,ue no cuentan con un mode#o matem/tico de %eguridad3 re,uieren de una re>e%critura de# 6erne# de# %i%tema operati-o ba%e de ta# &orma ,ue e# %i%tema operati-o %ea %eguro de%de e# di%eo" La% modi&icacione% de# 6erne# e%t/n ba%ado% en e# concepto de dominio% de %eguridad3 donde #o% u%uario% de# %i%tema %e c#a%i&ican en Luni-er%o%M %eparado%3 e% decir3 #o% dominio%" La interaccin entre di-er%o% dominio% e% impo%ib#e o e%t/ e%trictamente contro#ada" C0"#('()")(* B@ >Pr,!e))(* E#!ru)!ur"+"?: 4# 6erne# %e ree%cribe para con-ertir#o en una entidad modu#ar para poder contro#ar e# acce%o pri-i#egiado a recur%o% de# %i%tema" 4# acce%o a cada mdu#o3 re,uiere de autenti&icacin por %eparado" )ambi5n re,uiere de una %eparacin m/% riguro%a de #o% pape#e% de u%uario + admini%trador" C0"#('()")(* B1 >Pr,!e))(* +e Segur(+"+ E!(.ue!"+"?: 4n e%te e%,uema con%i%te de do% caracter'%tica% principa#e%" Inicia#mente3 cada u%uario e% a%ociado con cierto ni-e# de %eguridad (de &orma %imi#ar a# per%ona# ,ue traba7a en e# gobierno de #o% 4%tado% Unido%*" De igua# &orma3 cada recur%o de# %i%tema e% a%ociado con otro ni-e# de %eguridad3 de ta# &orma ,ue un u%uario re,uiere tener cierto ni-e# de %eguridad o igua# o %uperior para acce%ar cierto recur%o" La %egunda caracter'%tica con%i%te en ,ue e# contro# de acce%o e% ob#igatorio + no di%creciona#" 4%to %igni&ica3 ,ue #o% recur%o% e%t/n inicia#mente negado% a #o% u%uario% ha%ta ,ue e# admini%trador de %eguridad con&iere acce%o a u%uario% e.p#'cito%" C0"#('()")(* C@ >Pr,!e))(* +e A))e#, C, !r,0"+,?: 4%te e% e# ni-e# de %eguridad a# ,ue a%piran ##egar #a ma+or'a de #a% imp#antacione% moderna% de UNIX" http //!!!"codigo#ibre"org ;J
Antonio Perpian
8e,uiere de DAC o contro# de acce%o di%creciona#3 donde un u%uario puede otorgar permi%o% de acce%o a cierto% archi-o% de &orma granu#ar (e% decir3 u%uario por u%uarioI e7" #i%ta% de Contro# de Acce%o de AIX*" )ambi5n re,uiere autenti&icacin de u%uario% #o cua# e% e%t/ndar en UNIX" Fina#mente3 %e re,uiere un ra%treo de acti-idade% ,ue permita rea#i0ar auditor'a% de %eguridad" C0"#('()")(* C1 >Pr,!e))(* +e Segur(+"+ D(#)re)(, "0?: 4%te e% e# ni-e# a# ,ue pertenecen #a ma+or'a de #a% imp#antacione% c#/%ica% de UNIX (:1D3 1+%tem =*" 1#o re,uiere de autenti&icacin de u%uario% + ,ue e# contro# de acce%o a recur%o% %ea po%ib#e (di%creciona#*" 4%to %e rea#i0a por medio de permi%o% para e# u%uario3 e# grupo + otro%" C0"#('()")(* D >M3 (&,?: Un e7emp#o c#/%ico %on #o% %i%tema% K1>DO13 #o% cua#e% no tienen %eguridad inherente" 4# ni-e# C e%a a menudo imp#ementado en ambiente% comercia#e%" 4%to re,uiere ,ue #o% propietario de #o% dato% deben de %er capace% de determinar ,uien puede acce%ar a #o% dato% #o cua# e% ##amado Acce%o de Contro# Di%creciona# (DAC* N(Ae0 C1: 8e,uiere ,ue #o% u%uario% deben de ingre%ar a# %i%tema + permitir e# ID de# grupo" N(Ae0 C@: 8e,uiere ,ue #o% u%uario% indi-idua#e% ingre%en a #a red con una contra%ea + re,uiere un mecani%mo de auditor'a" )C14C e% %imi#ar a# I)14C" 1in embargo3 I)14C c#a%i&ica #a &unciona#idad (F* + e&ecti-idad (4* %eparadamente" 4# ni-e# C; de )C14C e% e,ui-a#ente a# ni-e# de I)14C F>C;3 4;" N(Ae0 C@ - 2$C@F Re.uer(&(e !,# +e E@ 4# re,uerimiento c#a-e para C; + F>C;3 #a c#a%i&icacin 4; e% ,ue un %i%tema tiene cierto% a%pecto% de contro# de acce%o di%creciona#3 re>uti#i0acin de# ob7eto3 identi&icacin + autenticacin3 + auditoria
< C, !r,0 +e A))e#, D(#)re)(, "0 Contro# de Acce%o Di%creciona# %igni&ica ,ue e# propietario de un recur%o debe de e%tar di%ponib#e a contro#ar e# acce%o a e%e recur%o" < Re$u!(0(6")(* +e0 O45e!, La re>uti#i0acin de# ob7eto debe %er contro#ado por e# %i%tema operati-o" Por #o tanto3 cua#,uier momento en e# ,ue un programa o proce%o u%a un ob7eto3 como #a memoria3 ,ue &ue u%ado anteriormente por otro programa o proce%o3 e# contenido pre-io de# ob7eto no puede %er determinado por e# u%uario nue-o de# ob7eto" < I+e !('()")(* - Au!e !()")(* 4# criterio re,uiere ,ue cada u%uario %ea unicamente identi&icado por e# %i%tema operati-o + ,ue e# %i%tema operati-o pueda a#macenar una pi%ta de toda% #a% acti-idade% de un u%uario -'a #a identi&icacin" < Au+(!,r(" 4# ma+or re,uerimiento de C;/F>C;3 e# e%tado 4; e% ,ue e# admini%trador de# %i%tema e%ta di%ponib#e de auditar todo #o% e-ento% re#acionado a #a %eguridad + #a% accione% de #o% u%uario% indi-idua#e%" Adem/%3 e# dato auditado debe de %er acce%ib#e %o#o por e# admini%trador de %i%tema%"
Cr(!er(, C,&= >CC? 4# CC e% un e%t/ndar ,ue uni&ica #o% di&erente% criterio% de %eguridad regiona# + naciona#" ta#e% como I)14C + )C14C3 dentro de un documento e%tandari0ado por I1O" 4# CC e% actua#mente e# 4%t/ndar Internaciona# (I1* I1O $J@GB3 e# cua# e% #a -er%in ;"$ de# criterio com2n" Lo% do% documento% %on t5cnicamente id5ntico%" 4# CC e%peci&ica + e-a#u/ #a% caracter'%tica% de %eguridad de #o% producto% de computadore% + %i%tema%" 4%te e% e# primer e%t/ndar internaciona# aceptado por 1eguridad I)" 4%te e% ba%ado en #o% documento% I)14C + )C14C + pien%a remp#a0ar#o% como un e%t/ndar mundia#" La% parte% ,ue crearon e# CC inc#u+en a La 1eguridad 4#ectrnica de Comunicacin (4%tado% Unido%*3 La Organi0acin de 4%tab#ecimiento% de 1eguridad de http //!!!"codigo#ibre"org ;H
Antonio Perpian
Comunicacin + e# 1er-icio Centra# de #a 1eguridad de 1i%tema% de In&ormacin (Francia*" E0 CC /r,Aee +,# 'u )(, e# 4C#()"#: Una manera e%tandari0ada de de%cribir #o% re,uerimiento%3 como #a nece%idad de %eguridad3 #o% producto% + %i%tema% para %ati%&acer e%a% nece%idade% + e# an/#i%i% + prueba de e%o% producto% + #o% %i%tema%" Una ba%e t5cnica con&iab#e para #a e-a#uacin de #a% caracter'%tica% de %eguridad de #o% producto% + %i%tema%" C, )e/!,# C0"Ae# 9a+ tre% concepto% e%encia#e% para entender e# CC" Lo% concepto% %on en gran parte u%ado% para #a comunicacin + proce%o% propue%to% en determinar #a %eguridad correcta de #o% producto% + %i%tema% dado% para una %ituacin e%pec'&ica" 4%o% Concepto% %on
< Pr,!e))(* +e Per'(0e# >PP? 4%te documento creado por #o% admini%tradore% I)3 u%uario%3 de%arro##adore% de producto% + otra% parte% de&inen un con7unto e%pec'&ico de nece%idade% de %eguridad" 4# documento PP comunica #a% nece%idade% a# &abricante" < B0" ),# +e Segur(+"+ >ST? 4%te e% un e%tamento de #o% &abricante% ,ue c#aman ,ue %eguridad un producto I) o %i%tema pueden pro-eer" 4%te contiene in&ormacin e%peci&ica de #o% producto% ,ue e.p#ican como un producto o %i%tema en particu#ar re%ue#-e #a nece%idad de PP" < B0" ), +e EA"0u")(* >TOE? 4%te e% e# producto o %i%tema I) ,ue %er/ e-a#uado" 4# producto debe de %er e-a#uado u%ando #o% re,uerimiento% e%pec'&ico% de %eguridad #i%tado% en #o% documento% PP + 1)" Para cump#ir con e# CC3 e# producto debe de %er ana#i0ado + probado por una tercera parte acreditada"
EL L(4r, N"r" 5" >TGe Or" ge B,,D? Para e%tandari0ar #o% ni-e#e% de %eguridad3 e# gobierno de #o% 4%tado% Unido% #an0o una %erie de e%t/ndare% de&iniendo una manera com2n de &i7ar #o% ni-e#e%" 4%to% e%t/ndare% &ueron #an0ado% en una %erie de #ibro% com2nmente ##amado% La 1erie Arco>iri% ()he 8ainbo! 1erie* por ,ue cada #ibro tenia una cobertura de co#or di&erente" De particu#ar importancia &ue e# Libro Naran7a" 4%te de&ine una %erie de e%t/ndare%3 ,ue comien0an con D (4# ni-e# m/% ba7o* + contin2a ha%ta e# ni-e# A$ (4# m/% %eguro*" De%a&ortunadamente3 e%to% e%t/ndare% han %u&rido una %erie de prob#ema%" 4# primer prob#ema e% #a edad" Como todo en computacin3 #o% cambio% en capacidade% crean -ac'o% ,ue %e hacen m/% %igni&icante% a tra-5% de# tiempo" 4%te %ituacin3 en con7unto con e# &actor de ,ue e# e%t/ndar &ue di%eado e%pec'&icamente para gobernar #a% entidade%3 ha cau%ado ,ue #a% agencia% N1A + NI1) #an0aran una nue-a %erie% de e%t/ndare% ##amado% Programa de Prueba de tecno#ogia Con&iab#e ())AP*" ))AP de&ine %iete ni-e#e% de %eguridad3 comen0ando con e# Ni-e# $ de 4-a#uacin de 1eguridad (4AL* (e# m/% ba7o* + continuando ha%ta e# 4AL A (e# m/% %eguro*" Para tambi5n combatir #o% prob#ema% de #arga% tardan0a% en #a e-a#uacin3 e# N1A + NI1) e%t/n tambi5n certi&icando tercera% parte% para conducir #a% e-a#uacione%" Aun,ue toda-'a e%ta en temprano de%arro##o3 ))AP promete mo%trar una a+uda en #a e%tandari0acin de #a %eguridad en Grande% Indu%tria%"
Elementos de Se'uridad
A continuacin %e mo%trar/ #o% e#emento% de %eguridad m/% importante" )ambi5n %e mue%tra #a 7erar,u'a en ,ue e%o% e#emento% e%t/n organi0ado%" #o% ni-e#e% %er/n mo%trado% comen0ando de%de #o% m/% ba7o% $" Po#'tica de 1eguridad Corporati-a ;" Autenti&icacin de# U%uario ?" 4ncriptacin + Contro# de Acce%o @" Auditoria + Admini%tracin http //!!!"codigo#ibre"org ;A
Antonio Perpian
Cada uno de e%o% e#emento% opera en con7unto con #o% otro% para a%egurar ,ue una Organi0acin puede comunicar%e #o m/% e&icientemente po%ib#e" A# principio de# Li%tado %e encuentra La% po#'tica% de 1eguridad Corporati-a3 #a cua# e%tab#ece #a &undacin de cua#,uier %i%tema de %eguridad e.ito%o" )eniendo una po#'tica de %eguridad no garanti0a ,ue %e e#iminar/n #o% intru%o% o #a perdida de #a in&ormacin" Para e%o% 'teme%3 u%ted tiene ,ue auditar cuidado%amente %u red" 1in embrago3 una po#'tica de %eguridad #o hace pro-eer un &undamento para toda% #a% accione% %ub%ecuente%" 4n e%ta %eccin3 cubriremo% #o% %iguiente% tema% 8e%pon%abi#idad La Po#'tica de 1eguridad 8e-i%in 4# intercambio 1eguro + #a% De%-enta7a% Re#/, #"4(0(+"+ Lo% Admini%tradore% imp#ementan + hacen cump#ir #a% po#'tica% de %eguridad + auditan #a acti-idad de #o% u%uario%3 procurando %ea#ar #o% prob#ema% de %eguridad3 #o% cua#e% pueden inc#uir acti-idad i#'cita de un emp#eado3 un %i%tema con un ni-e# ba7o de parche% o un intru%o &uera de #a red" La Admini%tracin + #o% Admini%tradore% %eguridad deben de crear #a% po#'tica% de %eguridad corporati-a por ,ue e%to pro-ee #o% &undamento% para toda% #a% acti-idade% de #a red" L" P,03!()" +e Segur(+"+ Una po#'tica de %eguridad in&orm/tica e% una &orma de comunicar%e con #o% u%uario%3 +a ,ue #a mi%ma debe e%tab#ecer un cana# &orma# de actuacin de# per%ona#3 en re#acin con #o% recur%o% + %er-icio% in&orm/tico% de #a organi0acin" No %e puede con%iderar ,ue una po#'tica de %eguridad in&orm/tica e% una de%cripcin t5cnica de mecani%mo% de operacin3 ni una e.pre%in #ega# ,ue in-o#ucre %ancione% a conducta% de #o% emp#eado%3 e% m/% bien una de%cripcin de #o ,ue de%eamo% proteger + 5# por ,u5 de e##o3 pue% cada po#'tica de %eguridad e% una in-itacin a cada uno de %u% emp#eado% a reconocer #a in&ormacin como uno de %u% principa#e% acti-o% a%' como3 un motor de intercambio + de%arro##o en e# /mbito de %u% negocio%" Por ta# ra0n3 #a% po#'tica% de %eguridad deben conc#uir en una po%icin con%ciente + -igi#ante de# per%ona# por e# u%o + #imitacione% de #o% recur%o% + %er-icio% in&orm/tico%" E0e&e !,# +e u " P,03!()" +e Segur(+"+ I ',r&C!()" Como una po#'tica de %eguridad debe orientar #a% deci%ione% ,ue %e toman en re#acin con #a %eguridad3 %e re,uiere #a di%po%icin de todo% #o% miembro% de #a empre%a para #ograr una -i%in con7unta de #o ,ue %e con%idera importante" La% Po#'tica% de 1eguridad In&orm/tica deben con%iderar principa#mente #o% %iguiente% e#emento% A#cance de #a% po#'tica%3 inc#u+endo &aci#idade%3 %i%tema% + per%ona# %obre #a cua# ap#ica" Ob7eti-o% de #a po#'tica + de%cripcin c#ara de #o% e#emento% in-o#ucrado% en %u de&inicin" 8e%pon%abi#idade% por cada uno de #o% %er-icio% + recur%o% in&orm/tico% ap#icado a todo% #o% ni-e#e% de #a organi0acin" 8e,uerimiento% m'nimo% para con&iguracin de #a %eguridad de #o% %i%tema% ,ue abarca e# a#cance de #a po#'tica" De&inicin de -io#acione% + %ancione% por no cump#ir con #a% po#'tica%" 8e%pon%abi#idade% de #o% u%uario% con re%pecto a #a in&ormacin a #a ,ue tiene acce%o" http //!!!"codigo#ibre"org ;B
Antonio Perpian
La% po#'tica% de %eguridad in&orm/tica3 tambi5n deben o&recer e.p#icacione% compren%ib#e% %obre por ,u5 deben tomar%e cierta% deci%ione% + e.p#icar #a importancia de #o% recur%o%" Igua#mente3 deber/n e%tab#ecer #a% e.pectati-a% de #a organi0acin en re#acin con #a %eguridad + e%peci&icar #a autoridad re%pon%ab#e de ap#icar #o% correcti-o% o %ancione%" Otro punto importante3 e% ,ue #a% po#'tica% de %eguridad deben redactar%e en un #engua7e %enci##o + entendib#e3 #ibre de tecnici%mo% + t5rmino% ambiguo% ,ue impidan una compren%in c#ara de #a% mi%ma%3 c#aro e%t/ %in %acri&icar %u preci%in" Por 2#timo3 + no meno% importante3 e# ,ue #a% po#'tica% de %eguridad3 deben %eguir un proce%o de actua#i0acin peridica %u7eto a #o% cambio% organi0aciona#e% re#e-ante%3 como %on e# aumento de per%ona#3 cambio% en #a in&rae%tructura computaciona#3 a#ta rotacin de per%ona#3 de%arro##o de nue-o% %er-icio%3 regiona#i0acin de #a empre%a3 cambio o di-er%i&icacin de# /rea de negocio%3 etc" P"rC&e!r,# /"r" E#!"40e)er P,03!()"# +e Segur(+"+ 4% importante ,ue a# momento de &ormu#ar #a% po#'tica% de %eguridad in&orm/tica3 %e con%ideren por #o meno% #o% %iguiente% a%pecto% 4&ectuar un an/#i%i% de rie%go% in&orm/tico%3 para -a#orar #o% acti-o% + a%' adecuar #a% po#'tica% a #a rea#idad de #a empre%a" 8eunir%e con #o% departamento% dueo% de #o% recur%o%3 +a ,ue e##o% po%een #a e.periencia + %on #a principa# &uente para e%tab#ecer e# a#cance + de&inir #a% -io#acione% a #a% po#'tica%" Comunicar a todo e# per%ona# in-o#ucrado %obre e# de%arro##o de #a% po#'tica%3 inc#u+endo #o% bene&icio% + rie%go% re#acionado% con #o% recur%o% + biene%3 + %u% e#emento% de %eguridad" Identi&icar ,ui5n tiene #a autoridad para tomar deci%ione% en cada departamento3 pue% %on e##o% #o% intere%ado% en %a#-aguardar #o% acti-o% cr'tico% %u /rea" Konitorear peridicamente #o% procedimiento% + operacione% de #a empre%a3 de &orma ta#3 ,ue ante cambio% #a% po#'tica% puedan actua#i0ar%e oportunamente" Deta##ar e.p#'cita + concretamente e# a#cance de #a% po#'tica% con e# prop%ito de e-itar %ituacione% de ten%in a# momento de e%tab#ecer #o% mecani%mo% de %eguridad ,ue re%pondan a #a% po#'tica% tra0ada%" R"6, e# .ue I&/(+e 0" A/0()")(* +e 0"# P,03!()"# +e Segur(+"+ I ',r&C!()" A pe%ar de ,ue un gran n2mero de organi0acione% cana#i0an %u% e%&uer0o% para de&inir directrice% de %eguridad + concretar#a% en documento% ,ue orienten #a% accione% de #a% mi%ma%3 mu+ poca% a#can0an e# 5.ito3 +a ,ue #a primera barrera ,ue %e en&renta e% con-encer a #o% a#to% e7ecuti-o% de #a nece%idad + bene&icio% de buena% po#'tica% de %eguridad in&orm/tica" Otro% incon-eniente% #o repre%entan #o% tecnici%mo% in&orm/tico% + #a &a#ta de una e%trategia de mercadeo por parte de #o% Gerente% de In&orm/tica o #o% e%pecia#i%ta% en %eguridad3 ,ue ##e-an a #o% a#to% directi-o% a pen%amiento% como TK/% dinero para 7uguete% de# Departamento de 1i%tema%T" 4%ta %ituacin ha ##e-ado a ,ue mucha% empre%a% con acti-o% mu+ importante%3 %e encuentren e.pue%ta% a gra-e% prob#ema% de %eguridad + rie%go% innece%ario%3 ,ue en mucho% ca%o% comprometen in&ormacin %en%iti-a + por ende %u imagen corporati-a" Ante e%ta %ituacin3 #o% encargado% de #a %eguridad deben con&irmar ,ue #a% per%ona% entienden #o% a%unto% importante% de #a %eguridad3 conocen %u% a#cance% + e%t/n de acuerdo con #a% deci%ione% tomada% en re#acin con e%o% a%unto%" 1i %e ,uiere ,ue #a% po#'tica% de %eguridad %ean aceptada%3 deben integrar%e a #a% e%trategia% de# negocio3 a %u http //!!!"codigo#ibre"org ;O
Antonio Perpian
mi%in + -i%in3 con e# prop%ito de ,ue #o% ,ue toman #a% deci%ione% recono0can %u importancia e incidencia% en #a% pro+eccione% + uti#idade% de #a compa'a" Fina#mente3 e% importante %ea#ar ,ue #a% po#'tica% por %' %o#a% no con%titu+en una garant'a para #a %eguridad de #a organi0acin3 e##a% deben re%ponder a intere%e% + nece%idade% organi0aciona#e% ba%ada% en #a -i%in de negocio3 ,ue ##e-en a un e%&uer0o con7unto de %u% actore% para admini%trar %u% recur%o%3 + a reconocer en #o% mecani%mo% de %eguridad in&orm/tica &actore% ,ue &aci#itan #a &orma#i0acin + materia#i0acin de #o% compromi%o% ad,uirido% con #a organi0acin" ReA(#(* La re-i%in e% un a%pecto importante de %obre todo p#an de %eguridad" Lo% ma+or'a de %i%tema% moderno% pueden grabar toda% %u% acti-idade% en archi-o% #og%" 4%o% #og% #e habi#itan determinar #a e&icacia de #a imp#ementacin de %u %eguridad" A tra-5% de e%a acti-idad de #o% #og%3 u%ted puede u%ua#mente determinar como + %i una acti-idad no permitida ocurri" ReA(#(* P"#(A" - A)!(A" 4n #a re-i%in pa%i-a3 e# computador %imp#emente graba #a% acti-idade%" Por #o tanto3 #a re-i%in pa%i-a no e% un mecani%mo de deteccin a tiempo rea# por ,ue a#guien tiene ,ue re-i%ar #o% #og% + #uego actuar en ba%e a #a in&ormacin ,ue e%to% contienen" Lo% principio% de #a re-i%in pa%i-a demandan ,ue u%ted tome accione% pro> acti-a% + pre-enti-a%" )ambi5n3 cuando %e e%ta re-i%ando pa%i-amente3 a%eg2re%e de ,ue %u in&rae%tructura #o% meno% recur%o% po%ib#e% de# %i%tema" La re-i%in acti-a en-ue#-e re%pue%ta acti-a% para e# acce%o i#'cito no autori0ado + e# acce%o de #o% intru%o%" La% re%pue%ta% deben de inc#uir U La &ina#i0acin de #a %e%in U 4# b#o,ueo de cierto% ho%t (inc#u+endo %itio% !eb3 %er-idore% F)P + %er-idore% de emai#* U :u%cando acti-idad i#'cita% detr/% de# punto de origen" Por e# tiempo ,ue toma -eri&icar + de%ci&rar #o% #og% o bit/cora%3 u%ted debe ba#ancear %u% tiempo entre #a% re-i%ione% + otra% tarea%" Kucha% re-i%ione% co#ocan mucho e%tr5% %obre #o% recur%o% de# %i%tema%" Ku+ poca% podr'an amena0ar %u %eguridad por,ue u%ted puede e%tar di%ponib#e para determinar + detectar una acti-idad crac6er" I !er)"&4(, Segur, - 0"# De#Ae !"5"# Ku+ a menudo3 #o% re,uerimiento% admini%trati-o% de #a% imp#ementacione% de %eguridad no %on con%iderado% durante #a &a%e de# di%eo" Lo% re,uerimiento% de %eguridad %iempre in-o#ucran a#guna% de%-enta7a%3 inc#u+endo Incremento de #a Comp#e7idad U%ted deber/ de entrenar #o% u%uario% &ina#e% para u%ar #a% medida% de %eguridad ,ue %e re,uieren" )iempo Lento de 8e%pue%ta de# 1i%tema Kecani%mo% de Autenti&icacin3 8e-i%in + 4ncriptacin puede degradar e# &uncionamiento" )iempo + e%&uer0o %on re,uerido% para aprender nue-a% inter&ace% de %o&t!are + t5cnica%" U%ted puede e#egir %o&t!are + hard!are ,ue %ean &/ci#e% de u%ar" Adem/% de #o% bene&icio% ob-io%3 ta#e% como reducir co%to%3 permitir miembro% de #a directi-a #a &#e.ibi#idad de in-ertir m/% tiempo a7u%tando + me7orando #a %eguridad" 4ntre #o% e#emento% a con%iderar inc#u+en Faci#idad de In%ta#acin http //!!!"codigo#ibre"org ?G
Antonio Perpian Una inter&a0 Intuiti-a 4&ecti-o %oporte a# c#iente
Principios de Se'uridad
Aun,ue #a% imp#ementacione% e%peci&ica% de %eguridad %on %iempre 2nica%3 die0 principio% &/ci#mente de identi&icar %on comune% en toda% #a% rede% 1er Paranoico )ener un Po#'tica de 1eguridad No 1oporte% de 1i%tema% o )5cnica% 1o#amente Kinimi0ar e# Dao De%p#iegue de #o% 4%&uer0o% de #a% Grande% Compa'a% Pro-eer 4ntrenamiento U%ar una 4%trategia de 1eguridad Integrada U%ar #o% 4,uipo% de acuerdo a #a% Nece%idade% Identi&icar #o% )ema% de Negocio% de 1eguridad Con%iderar #a 1eguridad F'%ica Ser P"r" ,(), Aun,ue #a pa#abra paranoico parece %er una e.ageracin3 %i u%ted no e%ta %o%pecho%o ha%ta e# punto de paranoia3 u%ted probab#emente no e%ta %iguiendo %u% po#'tica% de %eguridad tan di#igentemente como deber'a" A# ni-e# per%ona#3 a%umir ,ue de%de una -e0 u%ted e%ta conectado a Internet3 u%ted +a e% un b#anco de ata,ue" A ni-e# de red3 a# di%ear %u %i%tema de %eguridad u%ted debe hacer#o a%umiendo ,ue #a entrada de un crac6er %er/ e-itada" 4%ta a%uncin a%egurar/ ,ue u%ted ap#i,ue tanta% t5cnica% como %ean nece%aria% + po%ib#e% en todo% #o% ni-e#e%" Organi0ar un bac6up3 para de e%ta manera %i un crac6er #ogr acce%o por un /rea3 e%tab#ecer otra /rea con e# bac6up para contener + e-itar ,ue #a acti-idad de# crac6er hacia /rea% de traba7o rea#" 4%te principio de %eguridad e% %imp#e3 pero puede %a#-ar %u red comp#eta" La minimi0acin de #a% amena0a% e% un re%u#tado de u%ar #o% principio% de %eguridad apropiadamente3 aun,ue e%to% pare0can %er dema%iado precautorio% en #o% o7o% de otro%" Por e7emp#o3 %i u%ted u%a un contro# de acce%o apropiado3 un crac6er e# cua# ha+a robado un u%uario #egitimo e%tar/ di%ponib#e para acce%ar %o#o #o ,ue e# u%uario puede acce%ar" 4n otra% pa#abra%3 %i un crac6er puede a%umir #a identidad de un miembro de %u organi0acin3 e%te %o#o podr/ di%poner de #o% mi%mo% archi-o% + %i%tema% ,ue e# u%uario #egitimo" De&inir #a% re%pon%abi#idade% + acce%o de un u%uario3 e% un e#emento c#a-e de minimi0ar #a% amena0a%" Otra manera de a%egurar%e e% preparando %u %i%tema" 1i u%ted protege %u% archi-o% F)P %eparadamente de %u% archi-o% <eb3 #a penetracin de #a %eguridad de %u <eb no %igni&ica ,ue %u% archi-o% de F)P tambi5n han %ido -io#ado%" 4# moti-o principa# para in-entar + u%ar ta#e% t5cnica% e% #a e.pectati-a de ,ue a#go ira ma# + ,ue a#guien ,ue e%te &uera trate de ,ue #a% co%a% -a+an ma#" Poca% co%a% moti-an a #a% per%ona% m/% ,ue e# miedo mi%mo3 a%' ,ue no %ube%time e%ta per%pecti-a cuando e%ta a%egurando %u %i%tema" Te er u " P,03!()" +e Segur(+"+ Una po#'tica de %eguridad e% e# &undamento en #a ,ue toda% #a% deci%ione% concerniente% a %eguridad e%t/n hecha%" 1i u%ted no tiene una po#'tica de %eguridad e&ecti-a3 %u imp#ementacin actua# %er/ incon%i%tente3 http //!!!"codigo#ibre"org ?$
Antonio Perpian pro-e+endo punto% de acce%o a #o% crac6er%"
Un crac6er genera#mente bu%ca por una debi#idad para entrar por e%ta" 1i e%a debi#idade% pa%an por a#to por de&ecto o #o% bug% en e# %i%tema operati-o3 e##a% e.i%ten por ,ue #a% po#'tica% de %eguridad no recuerdan a# admini%trador de %i%tema de #o% pa%o% e%encia#e% a tomar cuando %e me7ora e# %i%tema operati-o3 %e agregan u%uario% o un nue-o programa" Una po#'tica de %eguridad cuidado%a #o a+uda ta#e% de%cuido% + #o habi#ita a tomar deci%ione% con%i%tente% tanto como a%egura %u %i%tema" Una po#'tica de %eguridad de&ine cada reg#a ,ue %er/ %eguida e inc#u+e e.p#icacione% c#ara% de e%te prop%ito" Una po#'tica de %eguridad impreci%a + ob%cura puede no tran%portar #a ba%e de #o% -a#ore% de #a %eguridad3 ro#e% + re%pon%abi#idade% de #a organi0acin" N, S,/,r!e +e S(#!e&"# , T;) ()"# S,0"&e !e Un %i%tema de %eguridad e.ito%o e% una matri033 o combinacin de m5todo% indi-idua#e%3 t5cnica% + %ub%i%tema%" Cuando %ea po%ib#e3 u%ted puede u%ar tanto% principio% de %eguridad + t5cnica% como u%ted pueda para proteger cada recur%o" Por e7emp#o3 una red ,ue con&'a %o#amente en #a autenti&icacin no e%ta tan %egura como una ,ue combina autenti&icacin3 contro# de acce%o + encriptacin" 1imi#armente3 %u %itio e%ta me7or protegido por e# &i#trado de pa,uete% de# router combinado con un &ire!a## re%pa#dado por #a autenti&icacin de u%uario% + #a deteccin de intru%o%" Otro t5rmino para e%to% principio% e% #a de&en%a a pro&undidad" 4# u%o de m2#tip#e% t5cnica% + tecno#og'a% en cua#,uier punto #e permite a u%ted proteger%e en contra de #a% debi#idade% de cada t5cnica indi-idua# mientra% me7ora #a %eguridad tota# e&ecti-a" Como %u %i%tema de %eguridad %e de%arro##a3 u%ted ba%ar/ e%ta e#eccione% %obretodo en e# ba#ance de# %i%tema" Un ba#ance debe de %er obtenido3 por,ue u%ted puede imp#ementar dema%iado m5todo%3 de nue-o re%u#tando en ,ue #a %eguridad %ea meno% e&ecti-a por ra0one% de inoperabi#idad" 4# &actor m/% critico e% ana#i0ar cada m5todo de proteccin para cubrir debi#idade% + determinar %i u%ted puede reducir #a% debi#idade% u%ando un m5todo adiciona# o ,ui0/% do% pero %in %obre e.tender%e3 ni co#ocar carga innece%aria" La% o&erta% de producto% empa,uetado%3 tecno#ogia o %o#ucione% o&recen tota# proteccin en contra de toda% #a% amena0a%" U%ted nece%ita emp#eado% + recur%o% dedicado% para rea#i0ar una buena &uncin de %eguridad" La %eguridad no e%ta %o#o en #a etapa de in%ta#acin3 mantenimiento o ninguna de #a% /rea%3 %ino en toda%" Katem/ticamente hab#ando3 #a -u#nerabi#idad G puede %er a#can0ada %o#o por un tiempo + recur%o% in&inito%3 ni uno ni otro% de #o% cua#e% puede %er obtenido" M( (&(6"r e0 D"H, U%ando m2#tip#e% t5cnica% en cada di%po%iti-o + en todo ni-e#3 u%ted puede #imitar e# dao perpetuado por un crac6er" Por e7emp#o u%ted puede comp#ementar %u &ire!a## con una t5cnica de encriptacin ta# como 1ecure Ku#tipurpo%e Internet Kai# 4.ten%ion% (1/KIK4* para a%egurar %u% 4>mai#" De#/0(egue +e0 E#'uer6, +e Gr" +e# ),&/"H3"# Ku+ a menudo3 #a% organi0acione% de%arro##an po#'tica% de %eguridad3 + #uego #o% admini%tradore% no hacen cump#ir #a% reg#a%" Lo% Admini%tradore% de 1i%tema + 1eguridad #e dar/n %u% cuenta% de u%uario a otro%3 con acce%o a #a cuenta de root o acce%o como e# admini%trador" 4##o% no %e dar/n cuenta ,ue e%te tipo de acce%o e% un prob#ema por,ue #o% admini%tradore% conocen como no daar accidenta#mente un %i%tema o rea#i0ar otra% como accione% comprometedora%3 pero #a ma+or'a de u%uario% norma#mente no conocen como e-itar e%o% prob#ema%" Lo% crac6er% trataran de #oca#i0ar ta#e% cuenta% + concentrar%e en penetrar#o% en -e0 de a otra% cuenta% de a#ta %eguridad"
?;
Antonio Perpian
Lo% e7ecuti-o% de #a compa'a% tambi5n tienden a e-itar #a% medida% de %eguridad3 por,ue e%a% medida% pueden parecer incon-eniente% para a#guien ,uien debe acce%ar r/pido #a in&ormacin tan r/pido como %ea po%ib#e" 4n compa'a% pe,uea%3 #a ma+or'a de #o% propietario% de%ean #o% derecho% de root %imp#emente por,ue %on #o% 7e&e%" Una buena% reg#a e% tener tanta cuenta% admini%trati-a% como %ea po%ib#e" A#guna% per%ona% pien%an ,ue ha%ta #a m/% incorruptib#e medida de %eguridad e% un perdida de tiempo + %er/ ignorada por e%to% o trataran acce%o% directo e-adi5ndo#a" 4%ta% aparentemente inocente acti-idade% innece%aria% crean un hueco ,ue #o% crac6er% pueden de%cubrir + u%ar para #ograr acce%o no autori0ado" Aun,ue e# p#an de una compa'a debe hacer ,ue cada ,uien e%te a cua#,uier ni-e# de %eguridad" Pr,Aeer E !re "&(e !, Lo% entrenamiento% apropiado% e% una de #a% m/% e&ecti-a + &/ci#e% medida% de %eguridad ,ue u%ted puede poner en pr/ctica" Un e7ecuti-o3 con una %eccin de una hora de entrenamiento por e7emp#o en #a %e#eccin de contra%ea% apropiada% + %egura% puede dram/ticamente incrementar #o% ni-e#e% de %eguridad" A continuacin e%ta una #i%ta de entrenamiento% recomendado% para cada uno de #o% tre% ni-e#e% < U#u"r(,# 2( "0e# Lo% u%uario% deben de e%tar in&ormado% de #a% nue-a% amena0a% ,ue %on introducido% en #a <eb" U%ted puede noti&icar#o% -'a #o% men%a7e% de emai# empre%aria#e% o ##amado a con&erencia%" < A+&( (#!r"+,re# Lo% admini%tradore% de %eguridad deben de recordar in&ormar %obre #a% u#tima% amena0a% + contra>medida%" Una buena idea e% a%ignar a cada admini%trador de %eguridad un tema o /rea" Por e7emp#o3 un admini%trador de %eguridad puede mantener%e actua#i0ado con in&orme% de #a% 2#tima% amena0a%3 con #a% herramienta% + t5cnica% de #o% mi%mo crac6er%" < E5e)u!(A,# Lo% e7ecuti-o% nece%itan %er mantenido% enterado% de #a% u#tima% herramienta% ,ue pueden %er u%ada% para mantener #a %eguridad de un %itio actua#i0ada" Una t5cnica 2ti# e% decir#e a #o% e7ecuti-o% de un acce%o i#ega# a un %itio re#acionado" 4n a#guna% %ituacione% u%ted nece%ita conducir #a% %eccione% de entrenamiento para #o% u%uario% &ina#e%3 a%' pueden u%ar herramienta% apropiada% ,ue u%ted de%ea imp#ementar" U#"r u " E#!r"!eg(" +e Segur(+"+ I !egr"+" 4ncuentre como cada departamento imp#ementa #a e%trategia de %eguridad" Proteger en contra ,ue cada departamento tenga %u% propia% po#'tica% o ,ue interprete #a% po#'tica% por %eparado3 de ta# modo ,ue #a imp#ementacin de #a e%trategia de %eguridad #o ,ue haga e% crear agu7ero% de %eguridad" De nue-o3 a%eg2re%e de ,ue todo% #o% ni-e#e% de %u organi0acin3 inc#u+endo e7ecuti-o%3 e%t/n %iguiendo #a e%trategia di%eada" Lo% admini%tradore% de %i%tema + #o% o&icia#e% de %eguridad deben %iempre mantener #a -i%ta en todo% #o% componente% de %u% rede%" La %eguridad de un %itio puede %er &/ci#mente derrotada por un %i%tema pobremente a%egurado3 en e# cua# un admini%trador de %i%tema% no e%ta a# tanto +a ,ue e# nunca #o u%a" A continuacin #e mo%traremo% una %ituacin hipot5tica 4# admini%trador de %eguridad de un %itio ha hecho un buen traba7o a%egurando todo% #o% recur%o% de %u red" Una -er%in nue-a de un %i%tema operati-o pronto %er/ #an0ado3 + e# departamento de in-e%tigacin + de%arro##o ha obtenido una -er%in beta de# producto" 4# departamento IVD in%ta#a e# %i%tema beta en una ma,uina de prueba para e.perimentar con e# nue-o %o&t!are" Un crac6er e%ta tratando de acce%ar i#'citamente #a organi0acin + empie0a e%caneando #a red" 4# crac6er encuentra una red bien http //!!!"codigo#ibre"org ??
Antonio Perpian
protegida e.cepto por una m/,uina" 4# crac6er penetra e%ta computadora + #an0a todo% #o% ata,ue% de%de e%ta m/,uina" 4# admini%trador de %eguridad no e%ta en #a e.pectati-a de# ata,ue ,ue %e origina dentro de #a red de #a compa'a" 4# crac6er probab#emente in%ta#ar/ un 1ni&&er de pa,uete% en e# computador acce%ado + e%perar/ capturar una contra%ea admini%trati-a" For0ando a ,ue todo% #o% departamento% agreguen #a% po#'tica% de %eguridad3 prob#ema% como e%te mencionado anteriormente pueden %er &/ci#mente pre-enido%" U#"r 0,# E.u(/,# +e A)uer+, " 0"# Ne)e#(+"+e# 4% &/ci# ,uedar atrapado en e# de%eo de comprar #o% 2#timo% e,uipo% + %o&t!are" U%ted deber'a3 %in embargo3 %iempre con%iderar como cua#,uier tecno#ogia comp#ementa %u% nece%idade%" Para hacer e%to3 u%ted debe de tomar #o% %iguiente% pa%o% Condu0ca prueba de re-i%in de nece%idad Con%u#te con #a Admini%tracin para ,ue determine #a% nece%idade% e%peci&ica%" Determinar como una nue-a tecno#ogia a&ectar'a #a% rutina% diaria% en todo% #o% ni-e#e%" )raba7ar con #a Admini%tracin para a%egurar #o% &ondo%" Condu0ca #a% in-e%tigacione% para determinar #o% producto% apropiado% para %u organi0acin" I+e !('()"r 0,# Te&"# +e 0,# Neg,)(,# +e Segur(+"+ 8/pidamente #a %eguridad %e ha con-ertido en un tema centra# de #o% negocio%3 principa#mente por #o% co%to% ,ue e%ta in-o#ucra" Lo% in-er%ioni%ta% + #o% c#iente% %e han tornado m/% intere%ado% en hacer ,ue #a% compa'a% ha+an ##e-ado a cabo todo #o ,ue ha+ ,ue hacer para a%egurar%e" Por #o tanto3 #o% Admini%tradore% de I) + #o% pre%idente% de #a% compa'a% e%t/n intere%ado% en pro-eer #o ,ue han mo%trado debido a #a% di#igencia% cuando e%t/n a%egurando %u% rede%" 9aciendo e%to %e a+uda a ,ue e# negocio a%egure e# &inanciamiento + mantenga una imagen po%iti-a de #a compa'a" La% grande% compa'a% han identi&icado #a% manera% de mane7ar + 7u%ti&icar #o% ma+ore% co%to% de %eguridad" Te&"# +e Neg,)(, - L"!e )(" +e 0" Re+ La #atencia e% #a medida de tiempo nece%itada para ,ue una re%pue%ta pueda %er proce%ada entre un c#iente + un %er-idor" La %eguridad puede incrementar #a #atencia de #a red por e# tiempo e.tra ,ue e%ta nece%ita para encriptar #o% pa,uete%" La% medida% de %eguridad pueden a&ectar tambi5n a# negocio + a# u%uario de #a %iguiente manera < I )re&e !, +e0 ),#!, Kucha% %o#ucione% de %eguridad %on co%to%a%" La% #icencia% +/o imp#ementacione% de &ire!a##% por un %itio pueden con%tar U1P;G3GGG"GG m/%" < I ), Ae (e !e# Nue-o% programa% + procedimiento% pueden in>con-enir a #o% u%uario%3 e%pecia#mente #o% u%uario% ,ue -ia7an a menudo + a,ue##o% ,ue traba7an de%de cone.ione% remota%" 8ecuerde de hacer ,ue #o% u%uario% &ina#e% e%t5n enterado% de ,ue aun,ue tendr/n incon-eniente #e-emente en #o inmediato3 #o% bene&icio% a #argo p#a0o #e% ahorrar/ tiempo + tran,ui#idad a #a compa'a" L" Segur(+"+ 23#()" Kucha% corporacione% u organi0acione% han imp#ementado% %o&t!are de %eguridad %o&i%ticada %o#o para tener %u %i%tema %eguro +a ,ue #a mi%ma no e%ta a%egurada &'%icamente" A menudo3 una organi0acin ubicara %u &ire!a## + rede% en una /rea pub#ica3 e.poni5ndo#o% a ,ue %ean &or0ado%" Otro% o#-idaran re%tringir e# acce%o a #a% habitacione% %egura%" Otra% con%ideracione% %on tambi5n importante% para #a %eguridad &'%ica" http //!!!"codigo#ibre"org ?@
Antonio Perpian
A menudo3 un crac6er u%ar/ una brecha &'%ica no a%egurada de %u organi0acin para e.p#otar un agu7ero de %eguridad de Internet para atacar a tercero% entrando a tra-5% de %u %i%tema" )a#e% brecha% pueden inc#uir Una puerta abierta en #a habitacin ,ue contiene e# e,uipo de &ire!a##" Un emp#eado ,ue e#imine o introdu0ca in&ormacin manua#mente" Un emp#eado ,ue di-u#gue #a% contra%ea% + otra% in&ormacione%" Un emp#eado ,ue accidenta#mente #e in%ta#e una ap#icacin con -u#nerabi#idad a# %i%tema" La ma+or'a de #a% -u#nerabi#idade% %on e# re%u#tado de una acti-idad benigna de un u%uario3 ta#e% como un de%conocido ,ue trae un di%co de acti-idade% %ocia#e% de%de %u% ca%a" La% pregunta% ,ue debe de hacer%e concerniente% a #a %eguridad &'%ica deben de inc#uir C4%t/ e# &ire!a## de #a compa'a ubicado en #a habitacin apropiadaE C4%t/n #a% ma,uina% de rede% (router3 %er-idor <eb3 %er-idor F)P3 a%' %uce%i-amente"* %u7etado% o monitoreado%E C4%t/ a#g2n emp#eado traba7ando %#o en un /rea %en%ib#eE M;!,+,# +e V(g(0" )(" La% opcione% para incrementar #a %eguridad &'%ica inc#u+en 8eemp#a0ar #o% %eguro% de ##a-e% con contra%ea% de acce%o" Ubicar #o% %er-idore% dentro de una habitacin encerrado" In%ta#ar e,uipo% de -igi#ancia% por -ideo" Una compa'a3 pro-ee una manera ambigua e incrementar #a %eguridad &'%ica" 4%ta o&rece una c/mara digita# ,ue pude %er con&igurada para actuar como una c#a%e de )rip!ire" 1iempre ,ue cua#,uiera camine en &rente de #a c/mara3 e%ta #e toma una &oto3 #uego tran%mite #a imagen -'a emai# o por otra -'a" 4%ta e%trategia puede probar ,ue e% ab%o#utamente 2ti# en con&iguracione% %en%ib#e%" 47ercicio $>$ U%e e# 1ing#e :oot Kode de GNU/Linu. 4n e%te e7ercicio3 u%ted conducir/ un ata,ue &'%ico en contra de una Di%tro de GNU/Linu." No %e pro-een %o#ucione% para e%te e7ercicio" $" 8einicie %u computador entre a# G8U: + e%criba en #a in%tancia de# 6erne# #o %iguiente %ing#e ;" Linu. %e #an0ar/ en u%uario %ing#e mode" U%ted e% e# u%uario root" Cambie #a contra%ea a cua#,uiera ,ue de%ee" Note ,ue %i u%ted entra una contra%ea ,ue e% mu+ corta3 u%ted recibir/ un men%a7e de Ad-ertencia L:AD PA11<O8D it i% ba%ed on a dictionar+ !ord"M" U%ted puede ignorar e%te men%a7e por ahora por ,ue u%ted e% root" W pa%%!d Ne! UNIX pa%%!ord 8et+pe ne! UNIX pa%%!ord pa%%!d a## authentication to6en% updated %uce%%&u##+ ?" Ahora3 reinicie %u %i%tema W %hutdo!n >r no! @" Ingre%e a GNU/Linu. u%ando %u nue-a contra%ea" J" Cambie nue-amente %u contra%ea a %u contra%ea anterior" H" W pa%%!d root Ne! UNIX pa%%!ord 8et+pe ne! UNIX pa%%!ord http //!!!"codigo#ibre"org ?J
Antonio Perpian
pa%%!d a## authentication to6en% updated %u A" Para agregar a#go de %eguridad para e# u%uario %ing#e mode3 agregue e# %iguiente cdigo mo%trado a continuacin" 4ditamo% e# archi-o /boot/grub/menu"#%t pa%%!ordXpa%%!ord ,ue de%ea (en e%te e7ercicio no encriptada* Note la entrada restringida. &hora cuando desea entrar en el men' de G(U) le preguntar" por la contrase*a que coloco en el archi+o de menu.lst. Usted ahora dispone de una medida de seguridad f,sica para su sistema. Nota Aun,ue e%te e7ercicio agrega una medida de proteccin a #a %eguridad &'%ica de un %i%tema3 medida% adiciona#e% pueden %er nece%itada%" Con&igurando e# :IO1 para pre-enir ,ue inicien de%de un medio remo-ib#e rea#0ando #a %eguridad de# %i%tema pero puede3 en otra parte3 %er %obrepa%ado por un indi-iduo con conocimiento%3 con acce%o &'%ico + un de%torni##ador"
Resumen
4n e%te cap'tu#o3 di%cutimo% #o% concepto% de %eguridad de #a in&ormacin" A#guno% de #o% tema% c#a-e% &ueron 4.i%ti3 4.i%te + 4.i%tir/ #a nece%idad para po#'tica% + medida% de %eguridad" 4# %igni&icado3 a#cance3 + proce%o de #a %eguridad de in&ormacin e% amp#io + cru0a #a% &rontera% de #o% directi-a% + t5cnica%" La c#a%i&icacin de #o% %i%tema% + prueba% de rie%go% ,ue %on nece%aria% en #a determinacin de #a% po#'tica% de %eguridad de%eada%" La 5tica e% un &undamento importante para #a %eguridad de #a in&ormacin3 inc#u+endo e#emento% de cdigo% 5tico% e%pec'&ico% de# GNU + de# Con%orcio Internaciona# de Certi&icacin de 1i%tema% de 1eguridad (I1C*;" La e-a#uacin de #o% criterio% e%t/ndare% de %eguridad3 e# )C14C + e# CC %er-ido como una ba%e para #a e%peci&icacin de #a %eguridad" Kucho% concepto% + principio% %on e# centro de #a %eguridad de #a in&ormacin de #o% ni-e#e% de %eguridad cue%te #o ,ue cue%te3 %i%tema% operati-o% + mode#o% de negocio" Pregu !"# P,#!$E%"&e La% re%pue%ta% a e%ta% pregunta% e%t/n en e# Ap5ndice A" $" CDu5 importancia tiene una po#'tica de %eguridad en una organi0acinE ;" CCu/#e% %on #o% tre% ni-e#e% genera#e% de %eguridad para c#a%i&icar #o% %i%tema%E ?" CDu5 e% e# C48)E @" CCu/#e% %on #o% componente% de una matri0 e&ecti-a de %eguridadE J" CCu/#e% %on #o% tre% componente% c#a-e% para entender e# Criterio Com2n (CC*E H" CCu/#e% %on #o% %ei% e#emento%3 de&inido% por I1O3 ,ue e%t/n di%ponib#e% para a+udar a #o% pro&e%iona#e% de %eguridad para una imp#ementacin apropiada de %eguridadE
?H
Antonio Perpian
ENCRIPTACION
TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin Concepto% de 4ncriptacin No. ?A ?A ?B @;
CAPITULO
A#goritmo% de 4ncriptacin Proce%o de 4ncriptacin Ap#icado%

Prett+ Good Pri-ac+ (PGP* 8e%umen Pregunta% Po%t>4.amen
@A J@
JO HG H$
OBJETIVOS:
Al completar este captulo, usted podr
Di&erenciar entre un b#o,ue + un &#u7o de bit% Li%tar #a% &orma% e%peci&ica% de encriptacin %im5trica3 a%im5trica + de :it" Li%tar #o% programa% comune% de encriptacin + de%cribir %u e%tructura b/%ica" Li%tar + de%cribir #o% programa% comune% u%ado% en #a encriptacin " Comparar + contra%tar PGP + GPGI de%cribir e# de%arro##o de GPG" De%cribir e# ro# de #o% certi&icado% en e# e%tab#ecimiento de tran%accione% %egura% entre m2#tip#e% c#iente% a%' como #a% autoridade% de# certi&icado" Imp#ementar ##a-e% PGP en GNU/Linu."
SEGURIDAD
Pregu !"# Pre$E%"&e

$" CCu/# e% #a de&inicin de %eguridad pro-e'da por #a Organi0acin Internaciona# de 4%tandari0acinE ;" CCu/# e% e# primer pa%o ,ue u%ted deber'a tomar en orden de a#o7ar e&ecti-amente #o% recur%o% de %eguridad + reducir #o% rie%go% en %u Organi0acin" ?" CDe&ina a#guno% m5todo% c#a-e% de emp#ear %eguridad en un ambiente de redE @" Lo% admini%tradore% de red #o% cu/#e% crean una pared de %eguridad a#rededor de# per'metro de %u red en contra de #o% ata,ue% en Internet deben de %entir%e %eguro% debido a %u e%&uer0o" CDu5 m/% deber'a de hacer un admini%trador para monitorear %u red con e&icaciaE
?A
Antonio Perpian
INTR!"#CCI!N
9a+ mucha% ap#icacione% ,ue %e bene&ician de u%ar encriptacin" La encriptacin puede proteger #o% dato% con&idencia#e% o puede a+udar a autenti&icar a #o% u%uario%" U%ted tambi5n puede u%ar encriptacin para a%egurar #a con&idencia#idad + #a integridad de %u% dato%" 4n e%te capitu#o3 di%cutiremo% #o% concepto% &undamenta#e% de #a encriptacin + #a% di&erencia% entre #a% encriptacione% %im5trica%3 a%im5trica% + de bit%"
Conceptos de Encriptaci+n
La encriptacin e% e# proce%o de codi&icar #a in&ormacin3 de e%ta manera e% di&'ci# para otro% #eer#a o modi&icar#a" La encriptacin %e ha con-ertido en una parte importante de #a %eguridad computaciona#" 4%ta e% u%ada en un amp#io rango de /rea%3 inc#u+endo autenti&icacin de contra%ea%3 %eguridad de rede%3 &irma% digita#e% + %eguridad de emai#" 4n e%ta %eccin cubriremo% 9i%toria de #a 4ncriptacin )ermino#og'a de 4ncriptacin Categor'a% de 4ncriptacin K5todo% de Ap#icacin Due Pro-ee #a 4ncriptacin La Fuer0a de #a 4ncriptacin Proce%amiento Para#e#o + en 8onda La 4ncriptacin Fuerte + #a% Le+e% de 4.portacin de #a 4ncriptacin (U"1"* H(#!,r(" +e 0" E )r(/!")(* La encriptacin ha e.i%tido por %ig#o%" Leonardo Da=inci e%cribi %u diario per%ona# a# re-5% a%' %o#o pod'a #eer%e u%ando un e%pe7o" 9a%ta Nu#io Ce%ar u%aba encriptacin para a%egurar #o% men%a7e% a %u gobierno3 u%ando una &ormu#a matem/tica %imp#e" Aun,ue e# proce%o matem/tico actua# e% mucho ma% %o&i%ticado" 4# a#goritmo de Ce%ar %ir-e como un buen e7emp#o de como traba7a #a encriptacin" Un men%a7e3 por e7emp#o YI am Ce%arY %eria encriptado mo-iendo cada #etra de# men%a7e tre% caractere% ma% a#to% en e# a#&abeto" A%'3 e# men%a7e %e con-ertir'a en LL dp Fdh-huM" 1in conocimiento de #a &ormu#a matem/tica3 di&'ci# ##egar ,ue e% e# men%a7e encriptado" Conociendo #a &ormu#a3 e% tri-ia# re-ertir e# proce%o3 mo-iendo #a% #etra% tre% caractere% aba7o en e# a#&abeto para deri-ar e# men%a7e origina#" Lo% gobierno% a#rededor de# mundo han continuado u%ando encriptacin para proteger %u% %ecreto% en tiempo% de guerra + de pa0" Durante #a 1egunda Guerra Kundia#3 #o% a#iado% u%aron di%po%iti-o% de encriptacin /de%encriptacin para romper cdigo% A.i%" A tra-5% de e%ta rotura de tecno#ogia en encriptacin/ de%encriptacin3 #o% computadore% %e con-irtieron en una grapa de campo% cient'&ico% de encriptacin3 ##amado criptogra&'a" Ter&( ,0,g3" +e E )r(/!")(* La in&ormacin ,ue no e% encriptada e% ##amada te.to p#ano" u%ted puede encriptar e# te.to p#ano dentro de un te.to ci&rado u%ando una c#a-e de encriptacin" 4# a#goritmo ,ue u%ted u%a para encriptar e# te.to e% ##amado ci&ra" La c#a-e de de%encriptar e% u%ada para de%encriptar #o% te.to% ci&rado% a te.to p#ano" La ##a-e de encriptacin e% mantenida en %ecreto a%' %o#o a,ue##o% ,uiene% tienen #a ##a-e pueden encriptar + de%encriptar e# men%a7e" 4n %i%tema% %im5trico%3 #a mi%ma ##a-e e% u%ada para #a encriptacin + de%encriptacin" La idea comp#eta de encriptacin e% ,ue debe de %er di&'ci# o ca%i impo%ib#e de%encriptar un men%a7e %in #a c#a-e de encriptacin" 4n criptogra&'a% moderna%3 e%to %e hace u%ando un a#goritmo matem/tico comp#e7o"
?B
Antonio Perpian
La ma+or'a de #o% a#goritmo% de encriptacin %on b#o,ue% de ci&ra%" 4%to %igni&ica ,ue traba7a u%ando un b#o,ue de dato% a #a -e0" 4# tamao de e%te b#o,ue t'picamente e% de B b+te% o H@ b+te%" Otro% a#goritmo% %on ##amado% &#u7o de bit%" 4%to% traba7an un bit o b+te de un dato a #a -e0" 4# ci&rado de &#u7o e% ma% con-eniente para con-ertir dato% %obre #a marcha" Lo% b#o,ue% de ci&ra% pueden %er hecho% para traba7ar como &#u7o de bit% u%ando un proce%o ##amado encadenamiento" 4# re%u#tado de# b#o,ue anterior e% me0c#ado para codi&icar cada b#o,ue %uce%i-amente" La &uer0a de #o% m5todo% de encriptacin %on a menudo medido% por #a &uer0a de #a ##a-e" La &uer0a de #a ##a-e de%cribe ,ue tan grande e% #a ##a-e ,ue e% u%ada para codi&icar + decodi&icar #o% dato% + %u medida en bit%" )'picamente #a &uer0a de una ##a-e e%ta a#can0ando de%de #o% @G bit% ha%ta #o% $G;@ bit%" Kientra% ma% grande e# n2mero de bit%3 ma% di&'ci# e% romper e# ci&rado u%ando &uer0a bruta como ata,ue" 4n un ata,ue de &uer0a bruta3 %e intenta con cada c#a-e po%ib#e" Por #o tanto3 %i u%ted incrementa #a &uer0a de #a c#a-e3 u%ted incrementa e# n2mero de c#a-e% ,ue nece%ita para %er acce%ado" Para #a ma+or'a de #o% a#goritmo%3 incrementando #a &uer0a de #a c#a-e por $ bit3 e% dob#e #a cantidad de tiempo ,ue tienen ,ue durar intentando encontrar #a ##a-e" Note ,ue #a comparacin de #a% &uer0a% de #a% ##a-e% entre #o% di&erente% a#goritmo% de encriptacin no %on -a#ido% por ,ue cada a#goritmo toma una cantidad de tiempo di&erente + un m5todo di&erente de ata,ue" 9a+ otra% manera% de atacar un ci&rado adema% de# u%o #a &uer0a bruta" 4# Criptoan/#i%i% u%a #a matem/tica para tratar de encontrar una manera &/ci# de obtener e# te.to p#ano de un men%a7e encriptado" 4%te ata,ue tambi5n ##amado ata,ue a# a#goritmo o a# ci&rado3 a di&erencia de# ata,ue de &uer0a bruta ,ue %o#o trata de encontrar #a c#a-e particu#ar" La ma+or'a de #o% a#goritmo% de encriptacin ma% comune% han re%i%tido e# an/#i%i% cr'ptico3 pero en a#guno% %e ha encontrado ,ue %i tienen -u#nerabi#idade%" Otro m5todo de ata,ue e% atacando #o% e#emento% de %oporte de un %i%tema de encriptacin3 como por e7emp#o #o% ata,ue% ma% e.ito%o% %e dirigen a# generador de n2mero p%eudo>a#eatorio" Lo% n2mero% a#eatorio% %on u%ado% para generar #a% ##a-e% para encriptar" 1i e# generador de n2mero% a#eatorio% no e% %u&icientemente a#eatorio3 un atacante puede e%trechar e# e%pacio de #a% po%ib#e% c#a-e% %o#o para a,ue##a% ##a-e% ,ue e# generador de n2mero% a#eatorio% pueda %e#eccionar" 4.i%ten mucho% a#goritmo% de encriptacin di&erente% di%ponib#e%" 4# ma% com2n probab#emente e% e# D413 ,ue por %u% %ig#a% en ing#e% e% L4%t/ndar de #a 4ncriptacin de #o% Dato%M de# gobierno de #o% 4%tado% Unido% de%arro##ado en e# $OBB" 4%te +a empe0ando a demo%trar debi#idade% por %u edad + un pro+ecto ma% reciente ha %e#eccionado a %u% %uce%or3 e# LA#goritmo de 4ncriptacin A-an0adaM (A41*" Otro% a#goritmo% %on tambi5n comune%" 4# ma% popu#ar probab#emente e% :#o!&i%h3 e# cua# e% ma% r/pido ,ue D41 + tambi5n #ibre de patente% + derecho de autor" C"!eg,r3"# +e E )r(/!")(* 1e puede rea#i0ar #a encriptacin en mucho% tipo% de dato% di&erente%3 por e7emp#o %i e% te.to3 %e puede en uno o ma% b#o,ue de dato%3 pre%entando e%to% ina#can0ab#e% o encriptado% a #o% ,ue no po%een #a ##a-e" Un %imp#e documento puede %er di-idido en b#o,ue de dato%3 cada uno ci&rado a#ternadamente3 + e%to puede rea#i0ar%e en #a red o a# ni-e# de# documento" A# ni-e# de# documento3 #a encriptacin toma un archi-o de te.to p#ano &/ci# de #eer para %ere% humano% + #o tran%&orma en un te.to +a ci&rado" La 2nica manera de ,ue a#guien pueda #eer e%te te.to e% obteniendo acce%o a #a ##a-e ,ue &ue u%ada para tran%&ormar e# te.to de uno p#ano a uno ci&rado o de%encriptar e# te.to u%ando e# m5todo de #a &uer0a bruta" Un ata,ue de &uer0a bruta en un men%a7e encriptado %on intento% %ecuencia#e% de tratar de de%encriptar e# men%a7e3 tratando toda% #a% combinacione% po%ib#e para determinar #a ##a-e de encriptacin3 una tarea ,ue con%ume mucho tiempo" Por ,ue e# Internet e% una red abierta3 #a encriptacin %e ha -ue#to importante no %o#o para #o% emai#%3 %ino tambi5n para toda #a http //!!!"codigo#ibre"org ?O
Antonio Perpian
comunicacin en #a red" 4# concepto principa# a recordar cuando hab#amo% de encriptacin e% ,ue #a encriptacin u%a un a#goritmo matem/tico para hacer re-o#ti7o de %u% dato%3 de ta# &orma ,ue e# men%a7e %ea pre%entando %in %entido para cua#,uiera %i no po%ee #a ##a-e de de%encriptar correcta" U%ted deba haber e%cuchado de #a% di&erente% manera% de encriptar un archi-o3 e# u%o de a#goritmo% como e# D413 e# 8i-e%t3 1hamir + Ad#eman (81A*3 + e# Ke%%age Dige%t J (KDJ*3 %on a#guno% mu+ popu#are%" Cada uno de e%o% di&erente% m5todo% %on un e7emp#o de #a% tre% principa#e% categor'a% de encriptacin < S(&;!r()" 4%te encripta #o% dato% u%ando una cadena de te.to" 4%ta ##a-e tanto encripta como de%encripta un archi-o" Una ##a-e %im5trica e% tambi5n ##amada ##a-e %ecreta por,ue #a mi%ma ##a-e e% u%ada tanto para e# encriptado como e# de%encriptado de #o% dato% + %i #a ##a-e e% comprometida3 e# dato %era de%encriptado &/ci#mente" < A#(&;!r(), 4%te encripta #o% dato% u%ando un par de ##a-e%" Cada mitad de# par e% re#acionado a# otro3 aun,ue e% di&'ci# de ana#i0ar (no impo%ib#e* #a ##a-e pub#ica + deri-ar #a ##a-e pri-ada" Lo ,ue una mitad encripta3 #a otra mitad de%encripta + -ice-er%a" Otro nombre para #a encriptacin a%im5trica e% criptogra&'a de ##a-e pub#ica" < E )r(/!")(* +e G"#G 4ncripta #o% dato% u%ando una ecuacin matem/tica ##amada una &uncin de ha%h ,ue (tericamente* de%p#eg/ #a in&ormacin + a%' e%ta puede %er recuperada" Pue%to de otra manera3 e%ta &orma de encriptacin3 %imp#emente crea un cdigo ha%h3 e# cua# %e toma de# men%a7e + crea una repre%entacin de una #ongitud &i7a de# men%a7e3 a# momento de ,uerer recuperar e# men%a7e nece%ita e# men%a7e + e# ha%h3 +a ,ue de# ha%h %o#o no puede recuperar e# men%a7e" Por #a inhabi#idad de poder recuperar e# dato origina# de un dato ha%h3 #a &uncin ha%h e% a#guna% -ece% ##amada &uncin de una %o#a -'a" =eremo% #o 2ti# ,ue %on e%ta% categor'a% de encriptacin a tra-5% de e%te #ibro" M;!,+,# +e A/0()")(* Otro manera de c#a%i&icar #o% tipo% de encriptacin e% en como e%to% %on ap#icado%" )anto #a encriptacin %im5trica como #a a%im5trica puede %er ap#icada como un b#o,ue o &#u7o de bit%" C('r"+, +e B0,.ue# Un ci&rado de b#o,ue% tran%&orma un b#o,ue de #ongitud &i7a de te.to p#ano a uno de te.to ci&rado de #a mi%ma #ongitud" 4%ta tran%&ormacin toma #ugar u%ando #a c#a-e %ecreta pro-i%ta a# u%uario" La de%encriptacin e% rea#i0ada por #a ap#icacin ,ue re>tran%&orma de &orma in-er%a a# b#o,ue de te.to ci&rado u%ando #a ##a-e de de%encriptar apropiada a te.to p#ano nue-amente" La #ongitud &i7a e% ##amada tamao de b#o,ue + para mucha% ci&ra% de b#o,ue% e# tamao de b#o,ue e% de H@ bit%3 aun,ue e%to puede -ariar" 4%te e% e# proce%o &recuentemente ma% ap#icado a #o% archi-o% indi-idua#e% o men%a7e% de emai#3 #o% cua#e% %on todo% #o% dato% de una #ongitud determinada" Kientra% ma% dato% a de %er encriptado3 ma% tiempo durara e# proce%o de encriptacin" Un ci&rado de b#o,ue e% ap#icado a un peda0o de dato% o a un b#o,ue" 1i e# dato a %er encriptado e% ma% grande ,ue #a #ongitud de# b#o,ue3 e# proce%o e% repetido en peda0o% de dato% ha%ta ,ue e# grupo comp#eto de dato% %ea encriptado" Con #a ma+or'a de #o% a#goritmo% ,ue rea#i0an un ci&rado de b#o,ue3 e# orden de# ci&rado de b#o,ue e% #uego me0c#ado" De%de ,ue di&erente% te.to% p#ano% de b#o,ue% %on mapeado% a di&erente% b#o,ue% de te.to ci&rado (para permitir una de%encriptacin 2nica*3 un b#o,ue ci&rado e&ecti-amente pro-ee una permutacin de un grupo de todo% #o% po%ib#e% men%a7e%" La permutacin a&ectada a cua#,uier encriptacin en particu#ar e% %ecreta3 por e%to e% una &uncin de c#a-e %ecreta" C('r"+,# +e 20u5, http //!!!"codigo#ibre"org @G
Antonio Perpian
Genera #o ,ue e% ##amado un ##a-e de &#u7o3 + #a encriptacin e% pro-i%ta combinando #o% &#u7o% c#a-e% con e# te.to p#ano3 u%ua#mente con #a operacin 4.c#u%i-e O8 (XO8*" La generacin de# &#u7o c#a-e puede %er independiente de un te.to p#ano + te.to ci&rado o e%to puede depender en e# dato + %u encriptacin" La% ma+or'a de #o% di%eo% de #o% ci&radore% de &#u7o %on para un &#u7o de dato% %incrnico%" 4%te tipo de encriptacin e% ma% com2n en e# 4,uipo de Comunicacin de Dato%3 #o% cua#e% pueden %er u%ado% para encriptar todo% #o% tr/&ico% de red en #a marcha para #a cone.in o a#g2n ancho de banda e%peci&icado" 4# poder de proce%amiento nece%ario para rea#i0ar una encriptacin &#u7o de dato% -ariara dependiendo de #a &uer0a + e# ancho de banda de &#u7o de dato%I pero debido a #a natura#e0a %imp#e de #a operacin3 e# poder de proce%amiento e% genera#mente m'nimo con re%pecto a #a creacin de &#u7o de dato% encriptado%3 pero ma% recur%o% %on con%umidor por #a generacin de #o% &#u7o% c#a-e%" Una ci&ra de &#u7o e% un a#goritmo de encriptacin %im5trica3 o c#a-e %enci##a" Lo% ci&rado% de &#u7o puede %er di%eada para %er e.cepciona#mente ma% r/pido3 en hecho3 ,ue cua#,uier ci&ra de b#o,ue" Kientra% ,ue #o% ci&rado% de b#o,ue operan en grande% b#o,ue% de dato%3 #o% ci&rado% de &#u7o operan t'picamente en pe,uea% unidade% de te.to p#ano3 u%ua#mente bit%" La encriptacin de cua#,uier te.to p#ano en particu#ar con un ci&rado de b#o,ue re%u#tar'a en e# mi%mo ci&rado de te.to cuando #a mi%ma c#a-e e% u%ada" Con un ci&rado de &#u7o3 #a tran%&ormacin de e%o% pe,uea% unidade% de te.to p#ano -ariara3 dependiendo en donde %on encontrada% durante e# proce%o de encriptacin" Re00e , +e D"!,# 4% e# proce%o de agregar %imu#acione%3 in&ormacin a# a0ar a# &ina# de un men%a7e para encubrir e# punto &ina# de #o% dato% ,ue han %ido encriptado%" Por e7emp#o3 un men%a7e de $3??G b+te% puede %er encriptado con un ci&rado de b#o,ue ,ue encripta e# men%a7e en b#o,ue% de $;B b+te%" De%pu5% de $G b#o,ue% ($3;BG b+te%*3 %o#o %e o#-idar'an JG b+te%" Ka% bien ,ue en-iando un b#o,ue encriptado de %o#o JG b+te3 e# b#o,ue de dato% de JG b+te %era re##enado con una #ongitud de $;B b+te%3 #uego e% encriptado + en-iado" 4# b#o,ue de dato% ma% pe,ueo introducir'a una -u#nerabi#idad a# men%a7e comp#eto debido a %u pe,ueo tamao" Un proce%o %imi#ar podr'a ocurrir con un ci&rado de &#u7o3 e&ecti-amente ##enando cua#,uier ancho de banda no u%ado en una cone.in encriptada con re##eno3 o un ruido encriptado a# a0ar3 para encubrir #a cantidad de &recuencia de dato% a %er tran%mitida" :Bu; Pr,Aee 0" E )r(/!")(* 1 La encriptacin hace ,ue #o% dato% %ean i#egib#e%3 como te.to ci&rado3 pero de ta# manera ,ue #a in&ormacin origina# puede %er e.tra'da de# te.to ci&rado de%encriptando con #a c#a-e" )anto #a encriptacin como #a de%encriptacin %on proce%o% inten%i-o% de computo + pueden tomar una %igni&icante cantidad de tiempo en incurrir a#ta uti#i0acin de recur%o durante #a encriptacin + #a de%encriptacin" La encriptacin puede %er u%ada para habi#itar #o% cuatro% %er-icio% mo%trado% a continuacin < C, '(+e )("0(+"+ +e 0,# D"!,# 4%ta e% #a ra0n ma% com2n para u%ar encriptacin" A tra-5% de cuidado%a% ap#icacione% de &ormu#a% matem/tica%3 u%ted puede a%egurar ,ue %o#o e# recipiente pro-i%to de in&ormacin puede %er -i%to" Con #a encriptacin de ##a-e% pub#ica%3 e# recipiente pro-i%to e% e# 2nico ,ue puede de%encriptar #a in&ormacin3 de ta# modo a%' %er e# 2nico ,ue pueda #eer #a in&ormacin" < I !egr(+"+ +e 0,# D"!,# La integridad de #o% dato% e% in%u&iciente para #a ma+or'a de #a% nece%idade% de %eguridad" Lo% dato% pueden toda-'a %er i#'citamente de%ci&rado + modi&icado mientra% e%ta a#macenado o mientra% pa%a a tra-5% de #o% cab#e% de #a red" La% &ormu#a% matem/tica% ##amada% &uncione% ha%h e.i%ten para a+udar a determinar %i #o% dato% han http //!!!"codigo#ibre"org @$
Antonio Perpian
%ido modi&icado%" < Au!e !('()")(* La% &irma% digita#e% pro-een %er-icio de autenti&icacin" La% &irma% digita#e% u%an #a mi%ma &ormu#a ,ue pro-een con&idencia#idad de #o% dato%3 pero de una manera di&erente" La% &irma% a+udan a probar ,ue e# origen o emi%or de #a in&ormacin de hecho e% ,uien dice %er" La% &irma% digita#e% #e permiten a #o% u%uario% probar ,ue e# intercambio de una in&ormacin e%ta ocurriendo actua#mente" Organi0acione% &inanciera% e%pecia#mente con&'an en e%ta &aceta de criptogra&'a para #a tran%&erencia e#ectrnica de &ondo%" Cada una de e%a% &uncione% 7uegan un ro# di%tinto en computacin3 pero todo% con&'an en e# mi%mo mecani%mo %ub+acente de criptogra&'a" 4.i%ten un numero de concepto% c#a-e% cuando %e trata de encriptacin" 4%to %er/n e.p#icado a continuacin < E )r(/!")(* : 4% e# proce%o mediante e# cua# una rutina e% codi&icada de ta# manera ,ue no pueda %er interpretada &/ci#mente" 4% una medida de %eguridad uti#i0ada para ,ue a# momento de tran%mitir #a in&ormacin 5%ta no pueda %er interceptada por intru%o%" 4.i%te adem/% un proce%o de de%encriptacin a tra-5% de# cu/# #a in&ormacin puede %er interpretada una -e0 ,ue ##ega a %u #ugar de origen" < Au!e !('()")(* : 4%tab#ece #a identidad de #o% participante% u%ando #o% principio% de autenti&icacin (,uien ere%3 ,ue tiene%3 donde e%ta%3 ,ue %abe%* < C, !r"#eH": Una cadena de caractere% u%ado% en con7unto con un ID de u%uario para identi&icar + autenti&icar un indi-iduo" < L0"Ae >)0"Ae?: Una cadena binaria u%ada para encriptar + de%encriptar in&ormacin" < E )r(/!")(* +e L0"Ae S(&;!r()": Un mecani%mo de iniciar + a%egurar e# pa%o de una ##a-e de encriptacin a tra-5% de una red no con&iab#e" < E )r(/!")(* +e L0"Ae A#(&;!r()" , L0"Ae Pu40()": Un m5todo de encriptacin ,ue u%a do% ##a-e%3 #a pri-ada + #a pub#icaI un dato encriptado con una ##a-e debe %er de%encriptado por #a otra ##a-e" < I !egr(+"+ +e Me #"5e# /,r '(r&"# - &"r)"# +e G"#G: U%a un a#goritmo de una manera para generar un -a#or ha%h ,ue e% 2nicoI a%egura ,ue e# men%a7e o e# dato no ha %ido &or0ado de%pu5% de ,ue ha %ido en-iadoI #a% entidade% + #o% indi-iduo% &irman #o% men%a7e%3 %o&t!are3 app#et% de Na-a + otro% 'teme%I #a% &irma% pueden %er -eri&icada% + remontado a #a% autoridade% de certi&icado%" < Cer!('()"+,#: ID digita#e% para probar #a identidad de #o% participante%I u%ua#mente e%ta en en e# cdigo ha%h" 2uer6" +e 0" E )r(/!")(* Un a%pecto mu+ di%cutido + &recuentemente ma# entendido de #a criptogra&'a e% #a &uer0a de #a encriptacin" A#guna% pregunta% c#a-e% %on #a% %iguiente% CDu5 con%titu+e una encriptacin &uerteE CPor ,u5 e%ta ha %ido prohibida por #o% 4%tado% Unido%E CDu5 ni-e# de encriptacin e% re,uerido para -aria% nece%idade% de %eguridadE CCmo u%ted determina #a &uer0a e&ecti-a de di&erente% tipo% de encriptacinE
@;
Antonio Perpian
La &uer0a de #a encriptacin e%ta ba%ada en #o% tre% &actore% primario%" 4# primero e% #a &uer0a de# a#goritmo3 e# cua# inc#u+e &actore% como #a impo%ibi#idad de matem/ticamente retornar #a in&ormacin con cua#,uier co%a ,ue no %ea tratar toda% #a% combinacione% de c#a-e% po%ib#e%" Para nue%tro prop%ito3 con&iaremo% en #o% a#goritmo% e%t/ndare% de #a% indu%tria% ,ue han %ido probada% + tratada% a tra-5% de# tiempo por #o% e.perto% en criptogra&'a" Cua#,uier &ormu#a nue-a o propietaria debe %er -i%ta con %igni&icante de%con&ian0a ha%ta ,ue ha+a %ido -eri&icada comercia#mente" 4# %egundo &actor e% #a %eguridad de #a c#a-e3 #gica pero una &aceta pa%ada por a#to" Ning2n a#goritmo puede proteger#o de c#a-e% comprometida%" A%'3 e# grado de con&idencia#idad ,ue permanecer/ con e# dato e% directamente atado en ,ue tan %ecreta re%u#ta #a c#a-e" 8ecuerde di&erenciar entre e# a#goritmo + #a ##a-e" 4# a#goritmo no nece%ita %er %ecreto" Lo% dato% ha %er encriptado% %on u%ado% en con7unto con #a c#a-e3 #uego pa%ado% a tra-5% de# a#goritmo de encriptacin" 4# tercera &aceta3 #a #ongitud de #a c#a-e3 e% #a ma% conocida" 4n t5rmino% de encriptacin + ap#icacin de &ormu#a de de%encriptacin3 #a #ongitud de #a c#a-e e% determinada en bit%" Agregando un bit a #a #ongitud de #a c#a-e dup#ica e# n2mero de po%ib#e% c#a-e%" 4n t5rmino% %imp#e%3 e# n2mero de po%ib#e% combinacione% de bit puede hacer ,ue una c#a-e de cua#,uier #ongitud %ea e.pre%ada como ;(n*3 donde n e% #a #ongitud de #a c#a-e" A%'3 una &ormu#a de una c#a-e de @G bit de #ongitud %eria ;(@G*3 o $3GOO3J$$3H;A3AAH po%ib#e% c#a-e% di&erente%" Para traba7ar con e%to% n2mero% tan grande de po%ib#e c#a-e%3 %o#o con #a -e#ocidad de #o% computadore% moderno% de ho+ + #a habi#idad de #o% criptgra&o% de poder di%tribuir e# ata,ue de &uer0a bruta a tra-5% de m2#tip#e% ma,uina%" Aun,ue e# n2mero de po%ib#e c#a-e% e% de hecho inmen%o3 computadore% e%pecia#i0ado% pueden probar #a ma+or'a de #a% combinacione% de #a% c#a-e% en meno% de un d'a" 4n $OO?3 Kichae# <iener di%eo un computador e%pecia#i0ado para romper D413 un a#goritmo ,ue u%a una c#a-e de JH bit" 9aciendo e%to3 e# de%cubri ,ue e# co%to de# di%eo &ue #inea#" )omando en cuenta e# re%u#tado + &actori0ando con #a% #e+e% de Koore3 #a cua# tiene un e%tatuto ,ue dice ,ue e# poder de computacin %e dup#ica cada $B me%e%3 entonce% e% po%ib#e ##egar a# -a#or rea# de poder romper encriptacione% de di&erente% &uer0a%" Cuando una debi#idad e% encontrada en un a#goritmo3 #a% ap#icacione% de romper#a a menudo hacen una deri-acin de #a in&ormacin encriptada ma% %imp#e3 acortando #a cantidad de e%&uer0o ,ue e% re,uerido para de%encriptar un men%a7e" La% debi#idade% en #o% a#goritmo% pueden e.i%tir pero ha+ mucho meno% ahora ,ue -aria% d5cada% atr/%" Cuando #a &ra%e ata,ue con &uer0a bruta e% u%ado3 %igni&ica ,ue cada c#a-e po%ib#e e%ta %iendo intentada para de%encriptar #a in&ormacin" Pr,)e#"&(e !, P"r"0e0, - e R, +" Una ronda e% una parte di%creta de# proce%o de encriptacin" A#guno% a#goritmo% %ometen #a in&ormacin a -aria% ronda%3 rea#i0ando e# ci&rado de encriptacin m2#tip#e% -ece%" 4% pre&erib#e un n2mero a#to de ronda%" La ma+or'a de #o% a#goritmo% de c#a-e %im5trica rondan en e# primer proce%o #a mitad de# data no encriptado3 #uego proce%an #a %egunda mitad" Luego3 cada mitad e% reproce%ada para hacer ,ue #a encriptacin re%u#tante %ea &uerte" 1eparando #a in&ormacin en ronda% hace ,ue #a% c#a-e% %im5trica% %ean ma% r/pida% a# ap#icar" Cuando hab#amo% de encriptacin3 e# proce%amiento para#e#o %igni&ica e# u%o de m2#tip#e% proce%o%3 proce%adore% o ma,uina% para traba7ar en crac6iar un a#goritmo de encriptacin" L" E )r(/!")(* 2uer!e - #u# Le-e# +e E%/,r!")(* >UISI? A# momento de e%cribir e%te capitu#o3 #a encriptacin &uerte imp#ica e# u%o de c#a-e% ma+or a #o% $G;@ bit%" La% nue-a% tecno#og'a% probab#emente re,uerir/n una nue-a de&inicin de encriptacin &uerte" 4# gobierno de #o% 4%tado% Unido% continua c#a%i&icando #a encriptacin u%ando ,ue e.ceden #o% @G bit% como encriptacin http //!!!"codigo#ibre"org @?
Antonio Perpian
&uerte" De%a&iando #a% debi#idade% re#ati-a% de ta#e% encriptacione%3 c#a%i&icando e%te tipo de %o&t!are como municin" La% compa'a% dentro de #o% 4%tado% Unido% ,ue de%ean e.portar producto% ,ue u%en una &uerte encriptacin deben de primero obtener un permi%o de un Departamento de 4%tado para hacer#o" 4# importe de e%to% producto%3 %in embargo3 no e%ta regu#ado como una co%tumbre re%triccin en municione% ap#icado %o#o a #a e.portacin de ta#e% conocimiento% + di%po%iti-o%" )a# ha %ido e# ca%o3 por e7emp#o3 con #a -er%in internaciona# de #a %uite de encriptacin Prett+ Good Pri-ac+ (PGP*" Aun,ue e%ta% #e+e% han %ido re#a7ada%3 mucha% compa'a% + organi0acione% indudab#emente %er/n habitada% por e%ta%3 manteniendo %o#o e# de%arro##o internaciona# + manteniendo e# %o&t!are de encriptacin para e-itar po%ib#e% trampa% con #a% #e+e% aco%tumbrada% de #o% 4%tado% Unido%" Aun,ue #a% corporacione% + #o% gobierno% pueden ciertamente de%a&iar #a% encriptacione% de @G bit con computadore% moderno%3 #a cantidad de e%&uer0o in-o#ucrado a menudo e.cede e# -a#or de #a in&ormacin" De hecho3 un &actor para decidir #a #ongitud de #a c#a-e nece%itada e% e# -a#or de #a in&ormacin ,ue %era protegida" Aun,ue una c#a-e de @G bit no e% %iempre apropiada para tran%accione% &inanciera%3 u%ua#mente e% %u&iciente para #a% nece%idade% indi-idua#e% + toma un tiempo o recur%o% %igni&icante% para romper#o r/pidamente" A# momento de e%cribir e%te capitu#o3 #a% regu#acione% perteneciente% a #a encriptacin e%ta en e.perimento" Actua#mente3 cua#,uier u%o de encriptacione% &uerte% e%ta #imitado en -i%ta de como e%ta e% u%ado + di%tribuido para %itio% &uera de #o% 4%tado% Unido%" 4n 4nero de# ;GGG3 e# gobierno de #o% 4%tado% Unido% #an0o un nue-o proce%o ,ue permite #a e.portacin de cierto% producto% ,ue u%an &uerte% encriptacione%" 4%te proce%o re,uiere ,ue e# -endedor re-e#e como e# producto %era di%tribuido" La meta detr/% de e%to% do% pa%o% e% ,ue e# gobierno e% 4"U"A podr/ ra%trear e# u%o para todo% gobierno% + u%uario% de #a encriptacin" 9a+ mucha contro-er%ia %obre e%ta #e+3 + a#guno% cambio% e%t/n ocurriendo ,ue pueden permitir &uerte% encriptacione% e.portab#e% en un &uturo" 9a%ta e%o3 e# acercamiento ma% %eguro e% u%ar encriptacione% d5bi# para cua#,uier a%pecto de una imp#ementacin ,ue puede cru0ar #a% &rontera% de #o% 4%tado% Unido%" )ambi5n ha+ re%triccione% de patenta% en a#guno% a#goritmo% de encriptacin" Por e7emp#o3 en 1eptiembre de# ;GGG e# ci&rado 81A &ue patentado en #o% 4%tado% Unido%" 4%to %igni&ica ,ue cua#,uier u%o de e%te a#goritmo debe de %er #icenciado" Kucha% ciudade% no reconocen e%a% patente%3 de e%ta manera e##o% u%an e# %o&t!are uti#i0ando e%a% patente% %in preocupar%e %obre #o% tema% de #icencia%" A0g,r(!&,# +e E )r(/!")(* Cada a#goritmo de encriptacin u%a una &uncin matem/tica3 como %on #a 4CC por %u %ig#a% en ing#e% Criptogra&'a de Cur-a 4#'ptica o tambi5n conocido como e# #ogaritmo di%creto en campo% &inito%3 para crear un ci&ra ,ue3 apareada con una c#a-e3 encriptar/ o de%encriptar/ in&ormacin" 4# conocimiento %o#o de #a ci&ra no permitir/ #a de%encripcin" Lo% a#goritmo% 1im5trico%3 A%im5trico% + de 9a%h %er/n di%cutido% en e%ta pr.ima %eccin + cubriremo% #o% %iguiente tema% 4ncriptacin 1im5trica C#a-e A#goritmo 1im5trico 4ncriptacin A%im5trica 9a%h C#a-e de Intercambio E )r(/!")(* S(&;!r()" C0"Ae 4n %im5trica3 o c#a-e %imp#e3 una c#a-e e% u%ada para encriptar + de%encriptar/ e# men%a7e" Aun,ue pen%ar ,ue #e encriptacin de c#a-e %imp#e e% un proce%o %enci##o3 toda% #a% parte% deben de conocer%e + con&iar http //!!!"codigo#ibre"org @@
Antonio Perpian
comp#etamente una con e# otra + tener copia% con&idencia#e% de #a c#a-e" A#can0ando e%te ni-e# de con&ian0a no e% tan &/ci# como parece" 4n e# momento en ,ue #a% parte% e%t/n tratando de crear con&ian0a e% cuanto un brecha de %eguridad pudie%e ocurrir" 4# primer momento de tran%mi%in de una c#a-e e% crucia#" 1i e%ta tran%mi%in e% interceptada3 e# interceptor conocer/ #a c#a-e3 + e# materia# con&idencia# no %er/ protegido ma%" Un e7emp#o de una c#a-e %im5trica e% una contra%ea %imp#e ,ue u%ted u%a para acce%ar %u A)K o #a ,ue u%ted u%e para ingre%ar a %u Pro-eedor de 1er-icio% de Internet (I1P*" Lo% bene&icio% de #a encriptacin %im5trica e% ,ue e% r/pida + &uerte" 4%ta% caracter'%tica% #e permiten encriptar una gran cantidad de in&ormacin en %egundo%" La debi#idad de una c#a-e %im5trica e% #a di%tribucin de #a% c#a-e%" 4%o e%3 todo% #o% recipiente% + -i%ore% deben tener #a mi%ma c#a-e" Por #o tanto3 todo% #o% u%uario% deben de tener una manera %egura de en-iar + retribuir #a% c#a-e% entre e##o%" 1in embargo3 %i #o% u%uario% -an a pa%ar in&ormacin en un medio pub#ico ta# como por Internet3 nece%itan una manera de tran%&erir e%ta c#a-e entre cada uno" 4n a#guno% ca%o%3 #o% u%uario% pueden reunir + tran%&erir #a% c#a-e% &'%icamente" 1in embargo3 dicha% reunione% en per%ona no %on %iempre po%ib#e%" Una %o#ucin puede %er en-iar #a c#a-e -'a emai#" 1in embargo3 un men%a7e puede %er interceptado &/ci#mente3 por #o tanto -enciendo e# prop%ito de #a #a encriptacin" Lo% u%uario% no pueden encriptar emai#% conteniendo #a ##a-e por ,ue entonce% tendr'an ,ue compartir otra ##a-e para encriptar + de%encriptar e# emai# ,ue contiene #a c#a-e origina#" 4%te di#ema hace ,ue %ur7a una interrogante3 %i #a c#a-e %im5trica tiene ,ue %er encriptada3 entonce% Cpor ,u5 no u%ar e# m5todo ,ue encripta #a c#a-e en primer #ugar3 a%' e-itando u%ar do% encriptacione%E Una %o#ucin e% u%ar una c#a-e de encriptacin a%im5trica3 un proce%o ,ue %era di%cutido ma% ade#ante" )odo% #o% tipo% de encriptacin e%t/n %u7eto a caducar" Una contramedida ,ue puede reducir e# dao de tener una c#a-e a%im5trica +a comprometida e% cambiando %u c#a-e regu#armente" 1in embargo3 e% a menudo di&'ci# de cambiar #a% c#a-e% en un tiempo regu#ar + e% a2n ma% di&'ci# in&ormar a #o% otro% de e%te cambio de contra%ea3 e%pecia#mente %i a %u organi0acin pertenecen mucho% u%uario%" Adema% de e%ta preocupacin3 #o% crac6er pueden comprometer #a% c#a-e% %im5trica% a2n con programa% de diccionario%3 pr/ctica% de o#&atear o %ni&&ing de contra%ea%3 o robo &'%ico en e%critorio3 o&icina%3 etc" La encriptacin %im5trica e% probab#emente derrotada ma% a menudo por ata,ue% de &uer0a bruta ,ue cua#,uier otro tipo de ata,ue" 4%to% tipo% de ata,ue% #o% di%cutiremo% ma% ade#ante" A0g,r(!&,# S(&;!r(),# 1e ap#ican numero%o% a#goritmo% matem/tico% para e&ectuar encriptacione% %im5trica%" 4ntre e%to% a#goritmo% %e inc#u+en #o% %iguiente% D413 )rip#e D41 (?D41* + e# 81A 8C;3 8C@3 8CJ3 8CH3 KA813 )!o&i%h + 1erpent" E#!C +"r +e E )r(/!")(* +e D"!,# >DES? Lo% or'gene% de D41 %e remontan a principio% de #o% AGZ%" 4n $OA;3 tra% terminar un e%tudio %obre #a% nece%idade% de# gobierno en materia de %eguridad in&orm/tica3 #a Autoridad de 4%t/ndare% 4%tadouniden%e3 e# N:1 (Nationa# :ureau o& 1tandard%* ahora rebauti0ado con e# nombre NI1) (Nationa# In%titute o& 1tandard% and )echno#og+* conc#u+ en #a nece%idad de un e%t/ndar a ni-e# gubernamenta# para ci&rar in&ormacin con&idencia#" 4n con%ecuencia3 e# $J de ma+o de $OA?3 tra% con%u#tar con #a N1A3 e# N:1 %o#icit propue%ta% para un a#goritmo ,ue cump#iera riguro%o% criterio% de di%eo" A pe%ar de todo3 ninguna de e##a% parec'a %er adecuada" Una %egunda peticin &ue rea#i0ada e# ;A de ago%to de $OA@" 4n a,ue##a oca%in3 I:K pre%ent un http //!!!"codigo#ibre"org @J
Antonio Perpian
candidato ,ue &ue con%iderado aceptab#e3 un a#goritmo de%arro##ado durante e# periodo $OA?[$OA@ ba%ado en otro anterior3 e# a#goritmo Luci&er de 9or%t Fei%te#" 4# e,uipo de I:K dedicado a# di%eo + an/#i%i% de# a#goritmo e%taba &ormado por Fei%te#3 <a#ter )uchman3 Don Copper%mith3 A#an Conheim3 Car# Ke+er3 Ki6e Kat+a%3 8o+ Ad#er3 4dna Gro%%man3 :i## Not03 L+nn 1mith3 + :r+ant )uc6erman" Data 4ncr+ption 1tandard (D41* e% un a#goritmo de encriptacin3 e% decir3 un m5todo para encriptar in&ormacin* e%cogido como FIP1 en #o% 4%tado% Unido% en $OAH3 + cu+o u%o %e ha propagado amp#iamente por todo e# mundo" 4# a#goritmo &ue contro-ertido a# principio3 con a#guno% e#emento% de di%eo c#a%i&icado%3 una #ongitud de c#a-e re#ati-amente corta3 + #a continua% %o%pecha% %obre #a e.i%tencia de a#guna puerta tra%era para #a Nationa# 1ecurit+ Agenc+ (N1A*" Po%teriormente D41 &ue %ometido a un inten%o an/#i%i% acad5mico + moti- e# concepto moderno de# ci&rado por b#o,ue% + %u criptoan/#i%i%" 9o+ en d'a3 D41 %e con%idera in%eguro para mucha% ap#icacione%" F%to %e debe principa#mente a ,ue e# tamao de c#a-e de JH bit% e% cortoI #a% c#a-e% de D41 %e han roto en meno% de ;@ hora%" 4.i%ten tambi5n re%u#tado% ana#'tico% ,ue demue%tran debi#idade% terica% en %u ci&rado3 aun,ue %on in-iab#e% en #a pr/ctica" 1e cree ,ue e# a#goritmo e% %eguro en #a pr/ctica en %u -ariante de )rip#e D413 aun,ue e.i%tan ata,ue% terico%" De%de hace a#guno% ao%3 e# a#goritmo ha %ido %uperado por A41 (Ad-anced 4ncr+ption 1tandard*" 4n a#guna% oca%ione%3 D41 e% denominado tambi5n D4A (Data 4ncr+ption A#gorithm*" D41 e% e# a#goritmo prototipo de# ci&rado de b#o,ue3 un a#goritmo ,ue toma un te.to p#ano de una #ongitud &i7a de bit% + #o tran%&orma mediante una %erie de comp#icada% operacione% en otro te.to ci&rado de #a mi%ma #ongitud" 4n e# ca%o de D41 e# tamao de# b#o,ue e% de H@ bit%" D41 uti#i0a tambi5n una c#a-e criptogr/&ica para modi&icar #a tran%&ormacin3 de modo ,ue e# de%ci&rado %#o puede %er rea#i0ado por a,ue##o% ,ue cono0can #a c#a-e concreta uti#i0ada en e# ci&rado" La c#a-e mide H@ bit%3 aun,ue en rea#idad3 %#o JH de e##o% %on emp#eado% por e# a#goritmo" Lo% ocho bit% re%tante% %e uti#i0an 2nicamente para comprobar #a paridad3 + de%pu5% %on de%cartado%" Por tanto3 #a #ongitud de c#a-e e&ecti-a en D41 e% de JH bit%3 + a%' e% como %e %ue#e e%peci&icar" A# igua# ,ue otro% ci&rado% de b#o,ue3 D41 debe %er uti#i0ado en e# modo de operacin de ci&rado de b#o,ue + %i %e ap#ica a un men%a7e ma+or de H@ bit%" FIP1>B$ e%peci&ica -ario% modo% para e# u%o con D413 inc#u+endo uno para autenticacin" Segur(+"+ - Cr(/!," C0(#(# Aun,ue %e ha pub#icado m/% in&ormacin %obre e# criptoan/#i%i% de D41 ,ue de ning2n otro ci&rado de b#o,ue3 e# ata,ue m/% pr/ctico a d'a de ho+ %igue %iendo por &uer0a bruta" 1e conocen -aria% propiedade% criptoana#'tica% menore%3 + %on po%ib#e% tre% tipo% de ata,ue% terico% ,ue3 a2n re,uiriendo una comp#e7idad terica menor ,ue un ata,ue por &uer0a bruta3 re,uieren una cantidad irrea# de te.to% p#ano% conocido% o e%cogido% para ##e-ar%e a cabo3 + no %e tienen en cuenta en #a pr/ctica" A!".ue /,r 2uer6" Bru!" Para un ata,ue por &uer0a bruta3 a cua#,uier tipo de encriptado3 e# m5todo de ata,ue ma% %imp#e e% e# probando una por una cada c#a-e po%ib#e" La #ongitud de c#a-e determina e# n2mero po%ib#e de c#a-e%3 + por tanto #a &actibi#idad de# ata,ue" 4n e# ca%o de D413 +a en %u% comien0o% %e p#antearon cue%tione% %obre %u #ongitud de c#a-e3 inc#u%o ante% de %er adoptado como e%t/ndar3 + &ue %u reducido tamao de c#a-e3 m/% ,ue e# criptoan/#i%i% terico3 e# ,ue pro-oc #a nece%idad de reemp#a0ar#o" 1e %abe ,ue #a N1A anim3 o inc#u%o per%uadi a I:K para ,ue redu7era e# tamao de c#a-e de $;B bit% a H@3 + de ah' a JH bit%I con &recuencia e%to %e ha interpretado como una e-idencia de ,ue #a N1A po%e'a %u&iciente capacidad de computacin para romper c#a-e% de 5%te tamao inc#u%o a mediado% de #o% AG" http //!!!"codigo#ibre"org @H
Antonio Perpian
Acad5micamente3 %e ade#antaron -aria% propue%ta% de una m/,uina para romper D41" 4n $OAA3 Di&&ie + 9e##man propu%ieron una ma,uina con un co%te e%timado de ;G mi##one% de d#are% ,ue podr'a encontrar una c#a-e D41 en un %#o d'a" 9acia $OO?3 <iener propu%o una ma,uina de b2%,ueda de c#a-e% con un co%te de un mi##n de d#are% ,ue encontrar'a una c#a-e en A hora%" La -u#nerabi#idad de D41 &ue demo%trada en #a pr/ctica en $OOB cuando #a 4#ectronic Frontier Foundation (4FF*3 un grupo dedicado a #o% derecho% ci-i#e% en e# cibere%pacio3 con%tru+ una m/,uina a medida para romper D413 con un co%te apro.imado de ;JGGGG d#are% (goog#e5 4FF D41 crac6er*" 1u moti-acin era demo%trar ,ue %e pod'a romper D41 tanto en #a teor'a como en #a pr/ctica T9a+ mucha gente ,ue no creer/ una -erdad ha%ta ,ue puedan -er#a con %u% propio% o7o%" Ko%trar#e% una m/,uina &'%ica ,ue pueda romper D41 en uno% poco% d'a% e% #a 2nica manera de con-encer a a#guna% per%ona% de ,ue rea#mente no pueden con&iar %u %eguridad a D41"T La m/,uina rompi una c#a-e por &uer0a bruta en una b2%,ueda ,ue dur poco m/% de ; d'a%I K/% o meno% a# mi%mo tiempo3 un abogado de# Departamento de Nu%ticia de #o% 4%tado% Unido% proc#amaba ,ue D41 era irrompib#e" A!".ue# &C# rC/(+,# .ue 0" 2uer6" Bru!" 4.i%ten tre% ata,ue% conocido% ,ue pueden romper #a% dieci%5i% ronda% comp#eta% de D41 con meno% comp#e7idad ,ue un ata,ue por &uer0a bruta e# criptoan/#i%i% di&erencia# (CD*3 e# criptoan/#i%i% #inea# (CL* + e# ata,ue de Da-ie%" De toda% manera%3 5%to% ata,ue% %on %#o terico% + no e% po%ib#e ##e-ar#o% a #a pr/cticaI 5%te tipo de ata,ue% %e denominan a -ece% debi#idade% de certi&icacione%" < E0 Cr(/!," C0(#(# D('ere )("0 >CD? Fue de%cubierto a &ina#e% de #o% BG por 4#i :iham + Adi 1hamir3 aun,ue era conocido anteriormente tanto por #a N1A como por I:K + mantenido en %ecreto" Para romper #a% $H ronda% comp#eta%3 e# criptoan/#i%i% di&erencia# re,uiere ;@A te.to% p#ano% e%cogido%" D41 &ue di%eado para %er re%i%tente a# CD" < E0 Cr(/!," C0(#(# L( e"0 >CL? Fue de%cubierto por Kit%uru Kat%ui3 + nece%ita ;@? te.to% p#ano% e%cogido%(Kat%ui3 $OO?*I e# m5todo &ue imp#ementado (Kat%ui3 $OO@*3 + &ue e# primer criptoan/#i%i% e.perimenta# de D41 ,ue %e dio a conocer" No ha+ e-idencia% de ,ue D41 &ue%e adaptado para %er re%i%tente a e%te tipo de ata,ue" Una genera#i0acin de# CL3 e# criptoan/#i%i% #inea# m2#tip#e3 %e propu%o en $OO@ \a#i%6i and 8ob%ha!*3 + &ue me7orada por :ir+u6o- + otro% (;GG@*I %u an/#i%i% %ugiere ,ue %e podr'an uti#i0ar m2#tip#e% apro.imacione% #inea#e% para reducir #o% re,ui%ito% de dato% de# ata,ue en a# meno% un &actor de @ (e% decir3 ;@$ en #ugar de ;@?*" Una reduccin %imi#ar en #a comp#e7idad de dato% puede obtener%e con una -ariante de# criptoan/#i%i% #inea# de te.to% p#ano% e%cogido% (\nud%en + Kathia%%en3 ;GGG*" Nunod (;GG$* rea#i0 -ario% e.perimento% para determinar #a comp#e7idad rea# de# criptoan/#i%i% #inea#3 + de%cubri ,ue era a#go m/% r/pido de #o predicho3 re,uiriendo un tiempo e,ui-a#ente a ;?O[;@$ comprobacione% en D41" < E0 "!".ue &e5,r"+, +e D"A(e#: Kientra% ,ue e# an/#i%i% #inea# + di&erencia# %on t5cnica% genera#e% + pueden ap#icar%e a mu#titud de e%,uema% di&erente%3 e# ata,ue de Da-ie% e% una t5cnica e%pecia#i0ada para D41" Propue%ta por -e0 primera por Da-ie% en #o% BG3 + me7orada por b+ :iham and :ir+u6o- ($OOA*" La &orma m/% potente de# ata,ue re,uiere ;JG te.to% p#ano% e%cogido%3 tiene una comp#e7idad computaciona# de ;JG3 + tiene un J$S de probabi#idad de 5.ito" 4.i%ten tambi5n ata,ue% pen%ado% para -er%ione% de# a#goritmo con meno% ronda%3 e% decir -er%ione% de D41 con meno% de dieci%5i% ronda%" Dicho% an/#i%i% o&recen una per%pecti-a %obre cuanta% ronda% %on nece%aria% para con%eguir %eguridad3 + cu/nto ]margen de %eguridad^ proporciona #a -er%in comp#eta" 4# criptoan/#i%i% di&erencia#>#inea# &ue propue%to por Lang&ord + 9e##man en $OO@3 + combina criptoan/#i%i% di&erencia# + #inea# en un mi%mo ata,ue" Una -er%in me7orada de# ata,ue puede romper un D41 de O ronda% con ;$J"B te.to% p#ano% conocido% + tiene una comp#e7idad tempora# de ;;O"; (:iham + otro%3 ;GG;*"
@A
Antonio Perpian
Pr,/(e+"+e# Cr(/!," "03!()"# D41 pre%enta #a propiedad comp#ementaria3 dado ,ue donde e% e# comp#emento de bit de ." 4\ e% e# ci&rado con #a c#a-e \" P + C %on e# te.to p#ano + e# te.to ci&rado re%pecti-amente" La propiedad comp#ementaria imp#ica ,ue e# &actor de traba7o para un ata,ue por &uer0a bruta %e podr'a reducir en un &actor de ; (o de un 2nico bit* a%umiendo un ata,ue con te.to p#ano e%cogido" D41 po%ee tambi5n cuatro c#a-e% d5bi#e%" 4# ci&rado (4* + e# de%ci&rado (D* con una c#a-e d5bi# tienen e# mi%mo e&ecto (-5a%e in-o#ucin* 4\(4\(P** X P o #o ,ue e% #o mi%mo3 4\ X D\" 9a+ tambi5n %ei% pare% de c#a-e% %emi>d5bi#e%" 4# ci&rado con una de #a% c#a-e% de un par de c#a-e% %emi>d5bi#e%3 \$3 &unciona de #a mi%ma manera ,ue e# de%ci&rado con #a otra3 \;" 4% ba%tante &/ci# e-itar #a% c#a-e% d5bi#e% + #a% %emi>d5bi#e% en #a imp#ementacin3 +a %ea prob/ndo#a% e.p#'citamente3 o %imp#emente e%cogi5ndo#a% de &orma a#eatoriaI #a% probabi#idade% de coger una c#a-e d5bi# o %emi>d5bi# %on de%preciab#e%" 1e ha demo%trado tambi5n ,ue D41 no tiene e%tructura de grupo3 o m/% concretamente3 e# con7unto _4\` (para toda% #a% c#a-e% po%ib#e% \* no e% un grupo3 ni %i,uiera e%t/ LcercaM de %er un grupo (Campbe## + <iener3 $OO;*" F%ta &ue una interrogante abierta durante a#g2n tiempo3 + %i %e hubie%e dado e# ca%o3 hubiera %ido po%ib#e romper D413 + #a% moda#idade% de ci&rado m2#tip#e como )rip#e D41 no hubie%en incrementado #a %eguridad" Tr(/0e DES >EDES? 4# D41 norma# u%a una c#a-e de JH bit + e% con%iderado %u&iciente para in&ormacione% norma#e%" Para in&ormacin %en%ib#e3 a#guno% u%uario% emp#ean una t5cnica ##amada ?D41" 4n e%te ca%o3 e# men%a7e e% primero encriptado u%ando una c#a-e D41 de JH bit%" A%'3 ?D41 e&ecti-amente tiene una c#a-e de $HB bit%" Por #o% -ario% ni-e#e% de encriptacin3 ?D41 tambi5n &ru%tra e# ata,ue Lhombre de por medioM" 4# D41 norma# e% r/pido3 ?D41 e% ma% r/pido ,ue otro% a#goritmo% %im5trico%" La me7or -enta7a de ?D41 e% %u habi#idad de u%ar #o% %o&t!are + hard!are +a e.i%tente%" La% compa'a% con grande% in-er%ione% en e# a#goritmo de encriptacin D41 pueden imp#ementar &/ci#mente ?D41" A0g,r(!&, S(&;!r(), )re"+, /,r 0" C,r/,r")(* +e Segur(+"+ RSA 8on 8i-e%t3 Adi 1hamir + Leonar Ad#eman in-entaron %u %i%tema c#a-e de encriptacin en $OAA + nombrado con #a primera% #etra% de %u% ape##ido%" De%pu5% de e%te3 #a 81A ha in-entado o de%arro##ado otro% a#goritmo% ma%" Lo% a#goritmo% 81A %on u%ado% en -ario% %i%tema% operati-o% + programa%" La compa'a 1eguridad 81A e% una de #a% me7ore% conocida% + ma% e&ecti-a% en e# campo de #a criptogra&'a" La% tecno#og'a% 81A %on inc#uida% en e%t/ndare% e.i%ten + propue%to% para Internet + e# <or#d <ide <eb" 4# %ito <eb 81A contiene mucha in&ormacin %obre criptogra&'a + %eguridad" 4%te #ibro %o#o puede di%cutir poca% de #a% contribucione% de# a#goritmo 81A" 81A e% me7or conocido por %u a#goritmo de encriptacin a%im5trica + e% ##amado 81A" No con&unda a#goritmo% %im5trico% creado% por e# 81A (8C; + 8C@* por e# a#goritmo a%im5trico ##amado 81A" Lo% Ci&rado% 8i-e%t ; (8C;* + @ (8C@* %on de #o% a#goritmo% %im5trico% c#a-e% ma% u%ado% en ap#icacione%" 4##o% pueden u%ar una c#a-e de #ongitud -ariab#e %obre #o% $;B bit% en #o% 4%tado% Unido%" Internaciona#mente3 8C; + 8C@ pueden %er e.portado% de%de #o% 4%tado% Unido% con c#a-e% %obre #o% @G bit"
@B
Antonio Perpian
RC@ - RCJ 8C; de%arro##ado por 8i-e%t3 + %oportado por e# ci&rado 8i-e%t ;" 4%te ci&rado de modo b#o,ue3 ,ue encripta #o% men%a7e% en b#o,ue de H@ bit a #a -e0" Por %er de c#a-e de #ongitud -ariab#e3 e%te puede traba7ar con una #ongitud c#a-e de%de cero ha%ta in&inito3 + #a -e#ocidad de encriptacin e% independiente de# tamao de #a c#a-e" 4# 8CJ e% %imi#ar a# 8C; en e# %entido ,ue e% un ci&rado de b#o,ue3 pero e# a#goritmo toma #a -ariab#e de tamao de b#o,ue + tamao de #a c#a-e" )ambi5n3 e# n2mero de ronda% ,ue e# dato pa%a a tra-5% de# a#goritmo puede %er -ariado" La recomendacin genera# e% u%ar 8CJ con una c#a-e de $;B bit + de $; a $H ronda% para obtener una a#goritmo %eguro" RCK 8C@3 e# cua# &ue de%arro##ado por 8i-e%t en $OBA3 e% un ci&rado de &#u7o3 e# cua# encripta un men%a7e por comp#eto en tiempo rea#" La #ongitud de #a c#a-e puede %er -ariadaI #a #ongitud norma# e% de $;B bit% en #o% 4%tado% Unido% + @G bit% para e.portar &uera de #o% 4%tado% Unido% debido a #a% re%trincione% de 4.portacin de #o% 4%tado% Unido%" Lotu% Note%3 Orac#e 1ecure 1DL + Ce#u#ar Digita# Pac6et Data (CDPD* u%an e# a#goritmo 8C@" RCL No %eme7ante a #a ma+or'a de #o% nue-o% a#goritmo% de encriptacin3 8CH abarca una &ami#ia comp#eta de a#goritmo%" La %erie 8CH &ue introducida en $OOB" De%pu5% de ,ue &ue introducido e# 8CJ3 #o% in-e%tigadore% noti&icaron una debi#idad terica en como e# 8CJ proce%aba %u encriptacin a tra-5% de ronda% e%peci&ica% en e# proce%o" 8CH e% di%eado para remediar e%ta debi#idad" 8CH tambi5n hace &/ci# para #o% %i%tema% ca#cu#ar #o% b#o,ue% de $;B bit% durante cada ronda" IDEA 4# A#goritmo Internaciona# de 4ncriptacin de Dato% (ID4A* &ue de%arro##ado en $OOG" Para e%e tiempo3 &ue ##amado e# Propo%ed 4ncr+ption 1tandard (P41*3 + e-o#uciono en Impro-ed P41 (IP41*" Fina#mente3 en $OO;3 e%te e-o#uciono en ID4A" ID4A e% tambi5n un ci&rado de b#o,ue + opera en b#o,ue% de dato% de H@ bit%" La c#a-e e% de $;B bit% ma%" Aun,ue mucho% pen%aban de ,ue e%te era un a#goritmo &uerte3 e%te no gano popu#aridad" B0,M'(#G - TM,'(#G :#o!&i%h e% un a#goritmo %im5trico &#e.ib#e hecho por :ruce 1chneier3 un prominente indi-iduo en e# area de criptogra&'a e# cua# ha hecho mucha% contribucione% %igni&icante%" :#o!&i%h e% un ci&rado de b#o,ue de ronda -ariab#e ,ue puede u%ar una c#a-e de cua#,uier #ongitud %obre #o% @@B bit%" 1chneier ha creado un nue-o a#goritmo ##amado )!o&i%h" 4%te a#goritmo u%a b#o,ue% de $;B bit% + e% mucho ma% r/pido ,ue :#o!&i%h" )!o&i%h %oporta c#a-e% de ;B3 $O; + ;JH bit%" )!o&i%h ha %ido -i%to como un candidato prometedor para %er u%ado con tar7eta% inte#igente%" SD(/5")D 16ip7ac6 e% un ci&rado de encriptacin di%eado por #a Agencia de 1eguridad Naciona# (N1A* de #o% 4%tado% Unido%" La &ormu#a matem/tica actua# e% %ecreta pero e% imp#ementada en ta#e% producto% como #o% chip% Forte00a + C#ipper" 4%te u%a un c#a-e de BG bit + ?; ronda% en b#o,ue% de H@ bit% para comp#etar e%ta encriptacin" MARS Un a#goritmo de ci&rado de b#o,ue ##amado KA81 &ue introducido por I:K" 4%te u%a b#o,ue% de $;B bit + http //!!!"codigo#ibre"org @O
Antonio Perpian
%oporta c#a-e% por encima de #o% @GG bit%" 4# a#goritmo KA81 pre%enta me7or %eguridad ,ue D41 i% e% m/% r/pido" Como )!o&i%h3 e%ta di%eado e%pecia#mente para traba7ar bien en tar7eta% inte#igente%" R(5 +"e0 " + Ser/e ! 4# a#goritmo 8i7ndae# permite #a creacin de c#a-e% de $;B3 $O; o ;JH bit%" 4% un ci&rado de b#o,ue" Lo% de%arro##adore% e%taban e%pecia#mente intere%ado% en hacer un a#goritmo ,ue pudiera traba7ar r/pido en cua#,uier p#ata&orma3 inc#u+endo en rede% de Kodo de )ran%&erencia A%incrnica (A)K*3 en #inea% de tipo I1DN (8ede% Digita#e% de 1er-icio% Integrado%* + ha%ta en )e#e-i%in de A#ta De&inicin (9D)=*" 1erpent e% di%eado para tener b#o,ue% de $;B bit% di%eado% + %oportado% tamao% c#a-e% %obre #o% ;JH bit%" 4%ta e%pecia#mente optimi0ado para #o chip% ba%ado% en Inte#" Aun,ue mucho ma% a-an0ado3 e# 1erpent e% comparado en a#goritmo con e# D41 en #a manera en ,ue proce%a #a in&ormacin" E#!C +"r AA" 6"+, +e E )r(/!")(* >AES? 4n octubre de ;GGG3 e# NI1) (In%tituto Naciona# de 4%t/ndare% + )ecno#og'a* e#igi3 entre $J candidato%3 un nue-o e%t/ndar de ci&rado con c#a-e %ecreta para reemp#a0ar a# en-e7eciente D413 debido a ,ue e# tamao de #a% c#a-e% %e hab'a -ue#to dema%iado pe,ueo3 para #o% ni-e#e% de proce%adore% e.i%tente%" 4# a#goritmo e#egido para con-ertir%e en e# A41 e% e# 8i7ndae#3 cu+o nombre -iene de# de %u% creadore%3 8i7men + Daemen" 4%te e% un %i%tema de ci&rado de b#o,ue%3 +a ,ue #o% men%a7e% e%t/n ci&rado% por b#o,ue% comp#eto%3 ,ue en e%te ca%o %on de $;B bit%" 9a+ -aria% -er%ione% de# %i%tema uti#i0ando c#a-e% de $;B3 $O; o ;JH bit%" Como in&ormacin -a#e #a pena apuntar ,ue e# D41 ci&ra b#o,ue% de H@ bit% con una c#a-e de JH bit% %o#amente" 4# trip#e D41 uti#i0aba norma#mente ha%ta entonce% ci&ra% con b#o,ue% de H@ bit% con una c#a-e de $$; bit%" 4n primer #ugar3 %e aade bit a bit a# men%a7e #a c#a-e %ecreta \G " De%pu5%3 como para todo% #o% a#goritmo% de ci&rado por b#o,ue%3 %e itera una &uncin F3 parametri0ada por %ub>c#a-e% ,ue %e obtienen de #a c#a-e mae%tra mediante un a#goritmo de e.pan%in de c#a-e%" 4n e# ca%o de A413 %e itera $G -ece% #a &uncin F 1e toma como entrada b#o,ue% de $;B bit% repartido% en $H octeto%" Ante% de nada3 %e ap#ica a cada octeto #a mi%ma permutacin 1" 1eguidamente3 %e ap#ica a #o% $H octeto% una %egunda permutacin P" 4ntonce% a# re%u#tado obtenido %e #e aade bit a bit #a %ub>c#a-e de $;B bit% obtenida por e# a#goritmo de e.pan%in de c#a-e" 4# a#goritmo de e.pan%in de c#a-e permite ca#cu#ar #a c#a-e \i de #a i>5%ima iteracin en &uncin de #a %ub>c#a-e \i>$ de #a (i>$*>5%ima iteracin3 %iendo \G #a c#a-e %ecreta" 4%to %e de%cribe en #a &igura ?" Lo% $H octeto% de #a c#a-e \i>$ %e toman de @ en @" Lo% 2#timo% @ octeto% %e permutan u%ando una permutacin 13 ,ue e% #a mi%ma ,ue %e uti#i0a para permutar #o% bit% de cada octeto de #a &uncin" De%pu5% %e %uma a# primer octeto de# nue-o con7unto e# e#emento ai" 4%te e#emento e% un octeto ,ue depende de# n2mero i de #a iteracin con%iderada" Por 2#timo3 para obtener \i3 %e aade bit a bit #o% @ octeto% obtenido% a #o% @ primero% octeto% de \i>$3 de%pu5% e# re%u#tado obtenido e% agregado a #o% @ octeto% %iguiente% + a%' %uce%i-amente" =eamo% bre-emente cmo %e con%tru+en #a% permutacione% + a ,u5 corre%ponde #a con%tante ai" )5cnicamente + por %imp#icidad3 un octeto %e puede con%iderar como un e#emento de un con7unto con ;JH e#emento% ##amado cuerpo &inito3 %obre e# ,ue e.i%ten todo tipo de operacione% %imp#e%3 entre otra% #a% operacione% de %uma3 producto e in-er%in" La permutacin 1 anteriormente mencionada corre%ponde a #a in-er%in %obre e%te con7unto" La permutacin P e%t/ e%peci&icada como una operacin mu+ %imp#e3 imp#ement/ndo%e &/ci#mente" 4# e#emento ai corre%ponde a e#e-ar a #a potencia i un e#emento de# cuerpo" 4%ta% http //!!!"codigo#ibre"org JG
Antonio Perpian con%ideracione% permiten imp#ementar A41 de &orma mu+ e&ica0"
Como e# A41 no comprende m/% ,ue operacione% mu+ %imp#e% %obre #o% octeto% %e tienen do% -enta7a% enorme% U Inc#u%o #a imp#ementacin por %o&t!are de A41 e% e.tremadamente r/pida" Por e7emp#o3 una imp#ementacin en Caa %obre un Pentium a ;GGK90 permite ci&rar a AGKbit%/%I U La re%i%tencia de A41 a #o% criptoan/#i%i% di&erencia# + #inea# no depende de #a e#eccin de 1>Ca7a% como en e# D413 ,ue hab'an %ido %o%pecho%a% de haber %ido amaada% por #a N1A" 4n e&ecto3 toda% #a% operacione% e&ectuada% %on operacione% %imp#e%" E )r(/!")(* A#(&;!r()" La c#a-e a%im5trica u%a un par de c#a-e% en e# proce%o de encriptacin a di&erencia de #a c#a-e 2nica u%ada en #a c#a-e de encriptacin %im5trica" Un par de c#a-e% ,ue rea#mente e% una c#a-e matem/tica #a cua# con una mitad de# par encripta + con #a otra mitad de%encripta" Lo ,ue A encripta3 : de%encripta + #o ,ue : encripta3 A de%encripta" Lo importante de e%te concepto e% ,ue una de #a% c#a-e% de# par e% hecha p2b#ica mientra% ,ue #a otra %e mantiene pri-ado" La mitad ,ue de%ea pub#icar %era ##amada ##a-e p2b#ica + #a mitad ,ue e% mantenida en %ecreto e% #a ##a-e pri-ada" Inicia#mente3 no importa cua# mitad u%ted di%tribu+a" 1in embargo3 una -e0 uno de #o% pare% de #a c#a-e ha %ido di%tribuido3 e%te %iempre debe %er #a p2b#ica + -ice-er%a" La con%i%tencia e% critica3 +a ,ue comprometer/ #a %eguridad de# %i%tema %i e% de%obedecido" Para en-iar un men%a7e a a#guien ,ue ha generado un par de c#a-e%3 %o#o encripte e# men%a7e con #a c#a-e p2b#ica" 1o#o e# u%uario ,ue ha generado e# par de c#a-e% + mantiene #a c#a-e p2b#ica +a ,ue e# 2nico prop%ito de #a ##a-e p2b#ica e% encriptar dato%" A#guien tiene ,ue obtener #a c#a-e pri-ada para poder de%encriptar + #eer #o% dato%" La tecno#ogia para una criptogra&'a de c#a-e p2b#ica e% ba%ada en prob#ema% matem/ticamente di&'ci#e% + ,ue %on e.tremadamente computo>inten%i-o3 ta#e% como &actori0ar e# producto de do% grande% n2mero% primo%" 1in e# conocimiento de #o% do% n2mero% primo% e# prob#ema e% e.tremadamente di&'ci# de re%o#-er" Otro tipo de prob#ema% de a#goritmo% di&'ci#e% ,ue e% com2nmente u%ado en criptogra&'a de c#a-e% pub#ica%3 -iene de# campo de prob#ema% a#gor'tmico% di%creto%3 e%te e% e# 4##iptic Cur-e Cr+ptograph+ (4CC*" 4# concepto c#a-e ,ue hace e# tema di&icu#to%o e% ,ue adema% de conocer #a% matem/tica%3 entonce% ha+ ,ue %aber #o% &undamento% de #a criptogra&'a + como ap#icar e%to% a#goritmo% a e%ta" 4%to hace ,ue e# crac6eado de men%a7e% criptogr/&ico% computaciona#mente no %ea &actib#e3 o por #o meno% e.tremadamente co%to%o" Por %upue%to3 %iempre e%ta #a po%ibi#idad de ,ue a#guien pueda re%o#-er e# a#goritmo + de%cubrir #a c#a-e pri-ada" 1in embargo3 %i #a c#a-e e% %u&icientemente #arga3 %era di&'ci# hacer#o" No ,uiere decir ,ue a#guien con un programa ,ue de%encripte %in %aber matem/tica no pueda hacer #a tarea de de%ci&rar e# men%a7e" Uno de #o% incon-eniente% de #a% c#a-e% de encriptacin a%im5trica e% ,ue %on un poco #enta% debido a# ca#cu#o matem/tico inten%i-o ,ue e# programa re,uiere para ap#icar #a encriptacin + #a de%encriptacin" 1i un u%uario de%ea un ni-e# bueno o aceptab#e de encriptacin a%im5trica3 nece%itar/ hora% para poder encriptar re#ati-amente una pe,uea cantidad de in&ormacin3 por #o% e%t/ndare% de a#macenado de ho+ en d'a" E )r(/!")(* +e C0"Ae# Pu40()"# Lo% %i%tema% de ci&rado de c#a-e p2b#ica o %i%tema% de ci&rado a%im5trico% %e in-entaron con e# &in de e-itar por comp#eto e# prob#ema de# intercambio de c#a-e% de #o% %i%tema% de ci&rado %im5trico%" Con #a% c#a-e% p2b#ica% no e% nece%ario ,ue e# remitente + e# de%tinatario %e pongan de acuerdo en #a c#a-e a emp#ear" )odo #o http //!!!"codigo#ibre"org J$
Antonio Perpian
,ue %e re,uiere e% ,ue3 ante% de iniciar #a comunicacin %ecreta3 e# remitente con%iga una copia de #a c#a-e p2b#ica de# de%tinatario" 4% m/%3 e%a mi%ma c#a-e p2b#ica puede %er u%ada por cua#,uiera ,ue de%ee comunicar%e con %u propietario" Por tanto3 %e nece%itar/n %#o n pare% de c#a-e% por cada n per%ona% ,ue de%een comunicar%e entre %'" Lo% %i%tema% de ci&rado de c#a-e p2b#ica %e ba%an en &uncione%>trampa de un %#o %entido ,ue apro-echan propiedade% particu#are%3 por e7emp#o de #o% n2mero% primo%" Una &uncin de un %#o %entido e% a,u5##a cu+a computacin e% &/ci#3 mientra% ,ue %u in-er%in re%u#ta e.tremadamente di&'ci#" Por e7emp#o3 e% &/ci# mu#tip#icar do% n2mero% primo% 7unto% para obtener uno compue%to3 pero e% di&'ci# &actori0ar uno compue%to en %u% componente% primo%" Una &uncin>trampa de un %entido e% a#go parecido3 pero tiene una LtrampaM" 4%to ,uiere decir ,ue %i %e conociera a#guna pie0a de #a in&ormacin3 %er'a &/ci# computar e# in-er%o" Por e7emp#o3 %i tenemo% un n2mero compue%to por do% &actore% primario% + conocemo% uno de #o% &actore%3 e% &/ci# computar e# %egundo" Dado un ci&rado de c#a-e p2b#ica ba%ado en &actori0acin de n2mero% primo%3 #a c#a-e p2b#ica contiene un n2mero compue%to de do% &actore% primo% grande%3 + e# a#goritmo de ci&rado u%a e%e compue%to para ci&rar e# men%a7e" 4# a#goritmo para de%ci&rar e# men%a7e re,uiere e# conocimiento de #o% &actore% primo%3 para ,ue e# de%ci&rado %ea &/ci# %i po%eemo% #a c#a-e pri-ada ,ue contiene uno de #o% &actore%3 pero e.tremadamente di&'ci# en ca%o contrario" Como con #o% %i%tema% de ci&rado %im5trico% bueno%3 con un buen %i%tema de ci&rado de c#a-e p2b#ica toda #a %eguridad de%can%a en #a c#a-e + no en e# a#goritmo" Por #o tanto e# tamao de #a c#a-e e% una medida de #a %eguridad de# %i%tema3 pero no %e puede comparar e# tamao de# ci&rado %im5trico con e# de# ci&rado de c#a-e p2b#ica para medir #a %eguridad" 4n un ata,ue de &uer0a bruta %obre un ci&rado %im5trico con una c#a-e de un tamao de BG bit%3 e# atacante debe probar ha%ta ;B$>$ c#a-e% para encontrar #a c#a-e correcta" 4n un ata,ue de &uer0a bruta %obre un ci&rado de c#a-e p2b#ica con un c#a-e de un tamao de J$; bit%3 e# atacante debe &actori0ar un n2mero compue%to codi&icado en J$; bit% (ha%ta $JJ d'gito% decima#e%*" La cantidad de traba7o para e# atacante %er/ di&erente dependiendo de# ci&rado ,ue e%t5 atacando" Kientra% $;B bit% %on %u&iciente% para ci&rado% %im5trico%3 dada #a tecno#og'a de &actori0acin de ho+ en d'a3 %e recomienda e# u%o de c#a-e% p2b#ica% de $G;@ bit% para #a ma+or'a de #o% ca%o%" De#Ae !"5"# Re#/e)!, " 0"# C('r"# S(&;!r()"# La ma+or -enta7a de #a criptogra&'a a%im5trica e% ,ue %e puede ci&rar con una c#a-e + de%ci&rar con #a otra3 pero e%te %i%tema tiene ba%tante% de%-enta7a% U Para una mi%ma #ongitud de c#a-e + men%a7e %e nece%ita ma+or tiempo de proce%o" U La% c#a-e% deben %er de ma+or tamao ,ue #a% %im5trica%" U 4# men%a7e ci&rado ocupa ma% e%pacio ,ue e# origina#" 4# %i%tema de criptogra&'a de cur-a e#'ptica repre%enta una a#ternati-a meno% co%to%a para e%te tipo de prob#ema%" 9erramienta% como PGP3 119 o #a capa de %eguridad 11L para #a 7erar,u'a de protoco#o% )CP/IP uti#i0an un h'brido &ormado por #a criptogra&'a a%im5trica para intercambiar c#a-e% de criptogra&'a %im5trica3 + #a criptogra&'a %im5trica para #a tran%mi%in de #a in&ormacin" A0g,r(!&,# A#guno% a#goritmo% reconocido% %on Di&&ie>9e##man 81A http //!!!"codigo#ibre"org J;
Antonio Perpian D1A 4# Gama# Criptogra&'a de cur-a e#'ptica
O!r,# ), Me ,# A)e/!")(* : Ker6#e>9e##man3 a#goritmo% L\nap%ac6M" Pr,!,),0,# A#guno% protoco#o% ,ue u%an #o% a#goritmo% ante% citado% %on D11 (TDigita# 1ignature 1tandardT* con e# a#goritmo D1A (TDigita# 1ignature A#gorithmT* PGP GPG una imp#ementacin de OpenPGP 119 11L3 ahora un e%t/ndar de# I4)F )L1 H"#G Un ha%h puede %er de&inido como una eti,ueta ,ue e% generada de%de un documento u%ando un a#goritmo matem/tico" 4# a#goritmo ha%h con-ierte documento% e in&ormacione% de #ongitud de -ariab#e% en un peda0o de cdigo re-ue#to3 ##amado -a#or ha%h" Lo% a#goritmo% ha%h %on u%ado% de una -'a3 rea#i0ado en in&ormacione% ,ue u%ted nunca ,uiere ,ue %ea de%encriptada o #e'da" 4n hecho3 de%encriptar un -a#or ha%h e% tericamente impo%ib#e" 4# a#goritmo e%ta di%eado de ta# manera ,ue %i ocurre un pe,ueo cambio en e# documento %e genera un gran cambio en e# -a#or de ha%h" La ma+or'a de a#goritmo% de ha%h producen una corta #ongitud &i7a de -a#or ha%h 3 aun,ue poco% a#goritmo% ha%h crean #ongitud -ariab#e% de %a#ida" La% &uncione% ha%h3 %on una% &uncione% matem/tica% ,ue rea#i0an un re%umen de# documento a &irmar" 1u &orma de operar e% comprimir e# documento en un 2nico b#o,ue de #ongitud &i7a3 b#o,ue cu+o contenido e% i#egib#e + no tiene ning2n %entido rea#" )anto e% a%' ,ue por de&inicin #a% &uncione% ha%h %on irre-er%ib#e%3 e% decir3 ,ue a partir de un b#o,ue comprimido no %e puede obtener e# b#o,ue %in comprimir3 + %i no e% a%' no e% una &uncin ha%h" 4%ta% &uncione% %on adem/% de dominio p2b#ico" A un men%a7e re%umido mediante una &uncin ha%h + encriptado con una ##a-e pri-ada e% #o ,ue %e denomina como &irma digita#" 1u mecani%mo e% e# %iguiente $" 4# emi%or ap#ica una &uncin ha%h conocida a# documento3 con #o ,ue obtiene un re%umen ha%h de# mi%mo" ;" 4ncripta dicho re%umen con %u c#a-e pri-ada" ?" 4n-'a a# receptor e# documento origina# p#ano + e# re%umen ha%h encriptado" @" 4# receptor : ap#ica #a &uncin ha%h a# re%umen %in encriptar + de%encripta e# re%umen encriptado con #a ##a-e p2b#ica de A" J" 1i ambo% coinciden e%t/ %eguro de ,ue ha %ido A e# ,ue #e ha en-iado e# documento" 1i no coinciden3 e%t/ %eguro de ,ue no ha %ido A o de ,ue e# en-'o ha %ido interceptado durante e# medio de en-'o + modi&icado" 4# ca%o de ,ue ambo% re%2mene% no coincidan contemp#a tambi5n #a po%ibi#idad de ,ue e# men%a7e ha+a %ido http //!!!"codigo#ibre"org J?
Antonio Perpian
a#terado en %u -ia7e de A a :3 #o ,ue con##e-a igua#mente e# recha0o de# documento como no -/#ido" La% &uncione% ha%h + #a &irma digita# %on e#emento% indi%pen%ab#e% para e# e%tab#ecimiento de cana#e% %eguro% de comunicacin3 ba%ado% en #o% Certi&icado% Digita#e%" Para ,ue una &uncin pueda con%iderar%e como &uncin ha%h debe cump#ir #o %iguiente Debe tran%&ormar un te.to de #ongitud -ariab#e en un b#o,ue de #ongitud &i7a3 ,ue genera#mente e% pe,uea (a#guna% %on de $H bit%*" Debe %er cmoda de u%ar e imp#ementar" Debe %er irre-er%ib#e3 e% decir3 no %e puede obtener e# te.to origina# de# re%umen ha%h" Debe %er impo%ib#e encontrar do% men%a7e% di&erente% cu+a &irma digita# mediante #a &uncin ha%h %ea #a mi%ma (no>co#i%in*" 1i %e de%ea adem/% mantener un intercambio de in&ormacin con con&idencia#idad3 ba%ta con ci&rar e# documento a en-iar con #a c#a-e p2b#ica de# receptor" L,# A0g,r(!&,# H"#G KD;3 abre-iatura de Ke%%age Dige%t ;3 di%eado para computadore% con proce%ador de B bit%" )oda-'a %e u%a3 pero no e% recomendab#e3 debido a %u #entitud de proce%o" KD@3 abre-iatura de Ke%%age Dige%t @3 de%arro##ado por 8on 8i-e%t3 uno de #o% &undadore% de 81A Data 1ecurit+ Inc" + padre de# %i%tema a%im5trico 81A" Aun,ue %e con%idera un %i%tema in%eguro3 e% importante por,ue ha %er-ido de ba%e para #a creacin de otra% &uncione% ha%h" Un %i%tema de ata,ue de%arro##ado por 9an% Dobbertin po%ibi#ita e# crear men%a7e% a#eatorio% con #o% mi%mo% -a#ore% de ha%h (co#i%ione%*3 por #o ,ue +a no %e u%a" De hecho3 e.i%te un a#goritmo ,ue encuentra una co#i%in en %egundo%" KDJ3 abre-iatura de Ke%%age Dige%t J3 tambi5n obra de 8on 8i-e%t3 ,ue %e cre para dar %eguridad a KD@3 + ,ue ha %ido /mp#iamente u%ado en di-er%o% campo%3 como autenticador de men%a7e% en e# protoco#o 11L + como &irmante de men%a7e% en e# programa de correo PGP" 1in embargo3 &ue re-entado en $OOH por e# mi%mo in-e%tigador ,ue #o hi0o con KD@3 e# %eor Dobbertin3 ,ue con%igui crear co#i%ione% en e# %i%tema KDJ3 aun,ue por medio de ata,ue% parcia#e%" Pero #o peor e% ,ue tambi5n con%igui rea#i0ar ata,ue% ,ue compromet'an #a no>co#i%in3 por #o ,ue %e pod'an obtener men%a7e% con igua# ha%h ,ue otro determinado" A pe%ar de todo e%to3 KDJ %e %igue u%ando ba%tante en #a actua#idad" 19A>$3 1ecure 9a%h A#gorithm3 de%arro##ado como parte integrante de# 1ecure 9a%h 1tandar (191* + e# Digita# 1ignature 1tandar (D11* por #a Agencia de 1eguridad Naciona# Norteamericana3 N1A" 1u% creadore% a&irman ,ue #a ba%e de e%te %i%tema e% %imi#ar a #a de KD@ de 8i-e%t3 + ha %ido me7orado debido a ata,ue% nunca re-e#ado%" La -er%in actua# %e con%idera %egura (por #o meno% ha%ta ,ue %e demue%tre #o contrario* + e% mu+ uti#i0ada a#goritmo de &irma3 como en e# programa PGP en %u% nue-a% c#a-e% D9/D11 (Di&&ie>9e##man/Digita# 1ignature 1tandar*" Podemo% de%tacar tambi5n ,ue en #a actua#idad %e e%t/n e%tudiando -er%ione% de 19A con #ongitude% de c#a-e de ;JH3 ?B@ + J$; bit%" 19A>;3 1ecure 9a%h A#goritXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX 8IP4KD>$HG3 de%arro##ada por un grupo de in-e%tigadore% europeo%3 entre #o% ,ue %e encuentra 9an% Dobbertin (e# re-entador de KD@>KDJ* + otro% in-e%tigadore% inc#uido% en e# pro+ecto 8IP4 (8AC4 Integrit+ Primiti-e% 4-a#uation*" 1u primera -er%in ado#ec'a de #a% mi%ma% debi#idade% ,ue KD@3 produciendo co#i%ione%3 pero #a% -er%ione% me7orada% actua#e% %on con%iderada% %egura%" Kane7a c#a-e% mu+ robu%ta%3 norma#mente de $HG bit%3 aun,ue e.i%ten -er%ione% de $;B + %e e%t/n p#anteando nue-a% de ;JH + ?;G bit%" 4% mu+ r/pido3 no e%t/ patentado + %u cdigo &uente e% abierto3 de #ibre acce%o" 2(r&" http //!!!"codigo#ibre"org J@
Antonio Perpian
La &irma e% norma#mente imp#ementado pa%ando #o dato% para ,ue %ean &irmado% a tra-5% de a#goritmo de encriptacin de una %o#a -'a" 4%te encriptacin re%u#tara en un -a#or ha%h ,ue e% 2nico para e# peda0o de dato e%pec'&ico para e# ,ue &ue generado" La per%ona ,ue de%ee &irmar #o% dato% ahora %o#o tiene ,ue encriptar e# -a#or de# ha%h para a%egurar e# dato originado de%de e# emi%or" 4%ta &orma de &irmar pro-ee un mecani%mo de %eguridad3 autenti&icacin e integridad de #o% dato%" La autenti&icacin e% pro-i%ta cuando e# emi%or encripta e# -a#or ha%h con %u c#a-e pri-ada" 4%ta autenticacin #e a%egura a# receptor de ,ue e# men%a7e generado e% e# en-iado por e# emi%or" La integridad de #o% dato% e% a#can0ada por un a#goritmo de encriptacin de una -'a" Obteniendo e# -a#or ha%h #e permite a# receptor e7ecutar #o% dato% a tra-5% de un a#goritmo de encriptacin para obtener %u -a#or ha%h" Lo% do% -a#ore% ha%h %on comparado% #uegoI %i %on e# mi%mo3 e# dato no &ue modi&icado durante e# tran%ito" Otra -enta7a di%tinta de u%ar #a combinacin de un a#goritmo de una %o#a -'a + un a#goritmo a%im5trico e% ,ue e# a#goritmo %im5trico tiene ,ue encriptar %o#o una pe,uea cantidad de dato%" Por ,ue #o% -a#ore% ha%h %on t'picamente %o#o poco% 6i#o> b+te% en tamao3 un tiempo %igni&icante no e% nece%ario para encriptar e# -a#or ha%h u%ando e# a#goritmo a%im5trico" I !er)"&4(, +e C0"Ae# =irtua#mente cada proce%o de encriptacin ap#icado uti#i0a un a#goritmo de c#a-e de intercambio bien conocido + probado para habi#itar #a comunicacin %egura" La c#a-e% de intercambio (c#a-e p2b#ica o mecani%mo h'brido de%arro##ado para a%egurar e# pa%o de una c#a-e %ecreta a tra-5% de una in&rae%tructura p2b#ica* actu/ como un %a#udo de dob#e -'a para iniciar una cone.in %egura" 4%t/ndare% como %on e# 1ecure KIK4 (1/KIK4* + 1ecure 1oc6et La+er (11L* emp#ean una combinacin de encriptacin %im5trica3 a%im5trica + ha%h3 como #o hacen programa% indi-idua#e% como e# 1er-idor de In&ormacin de Internet (II1*3 Net%cape 1uite 1pot3 Prett+ Good Pri-ac+ (PGP3 etc"*" 4# raramente u%ado protoco#o 1ecure 9+perte.t )ran%&er Protoco# (19))P* tambi5n u%a una combinacin de e%ta% tecno#og'a% para a%egurar e# pa%e de #a c#a-e3 a#guna% -ece% ##amado una c#a-e de %eccin3 a tra-5% de una red in%egura o no con&iab#e" Un concepto importante a reconocer e% ,ue podemo% tran%portar &'%icamente una c#a-e de encriptacin de%de una de #a% #oca#idade% a otra para e-itar cua#,uier po%ib#e indi%crecin e# #a tran%mi%in por #a red" 4# co%to o con-eniencia de e%ta% a#ternati-a% debe %er cargada en contra de# -a#or de# dato ,ue ha %ido protegido en orden de determinar un mecani%mo apropiado de a%eguramiento de #a in&ormacin de cua#,uier dato" Con toda% #a% combinacione% po%ib#e% de encriptacin3 un m5todo e% re,uerido ,ue identi&ica ,ue acercamiento %era u%ado + como #a% c#a-e% %er/n intercambiada%" Internet \e+ 4.change (I\4* e% u%ado en #a con&iguracin de #a cone.in inicia# para e%tab#ecer un m5todo de encriptacin" I\4 determina e# m5todo de encriptacin a u%ar + ,ue c#a-e %era u%ada" I\4 e% comp#etamente independiente de cua#,uier a#goritmo criptogr/&ico" 4n -e0 de3 I\4 traba7a con mucho% m5todo% di&erente% para a%eguradamente negociar un m5todo de encriptacin e iniciar un intercambio de dato%" Pr,)e#,# +e E )r(/!")(* A/0()"+,# Lo% m5todo% de encriptacin %on u%ado% en una amp#ia -ariedad de ap#icacione%3 de%de c#iente% de emai# ha%ta %er-idore% <eb + ha%ta #a% rede% actua#e%3 ta#e% como =irtua# Pri-ate Net!or6% (=PN%*" La ma+or'a de moderna% encriptacione% din/mica% u%an una combinacin de encriptacin %im5trico%3 a%im5trico% + ha%h" 4%ta combinacin capita#i0a en #a &uer0a de cada tipo de encriptacin mientra% minimi0a %u% debi#idade%" 4%ta http //!!!"codigo#ibre"org JJ
Antonio Perpian %eccin cubrir/ #o% %iguiente% tema% 4>mai# Archi-o% 4ncriptado% In&rae%tructura de C#a-e% Pub#ica% (P\I* Certi&icado% Digita#e%
E$&"(0 4# emai# e% #a ap#icacin ma% ob-ia para #a encriptacin3 e%pecia#mente ahora ,ue #o% u%uario% de negocio% e%t/n con&iando en e%te" Kanera% popu#are% de encriptar un emai# inc#u+en PGP + 1/KIK4" Otro m5todo propietario tambi5n e.i%ten3 ta#e% como a,ue##o% u%ado% por Lotu% Note% + otro%" Aun,ue #o% e%t/ndare% de encriptacin di&ieren3 #o% principio% %iguen %iendo #o% mi%mo%" 1in embargo3 aun,ue mucho% programa% de encriptacin u%an una -ariedad de a#goritmo% como e# %im5trico3 a%im5trico + a#goritmo% de una %o#a -'a a%' como cambiando e# orden #o% dato% %on encriptado%3 + e# proce%o en genera# e% e# mi%mo" E )r(/!" +, u E$&"(0 A continuacin mo%traremo% un e7emp#o de un proce%o de encriptacin de una cuenta pa%o a pa%o 4# emi%or (:ob* + e# receptor (A#ice* nece%itan obtener #a% c#a-e% pub#ica% de cada uno ante% de en-iar un men%a7e de emai#" :ob genera una %eccin de c#a-e a# a0ar (K* ,ue %era u%ada para encriptar e# men%a7e de emai# + %u archi-o ad7unto" 4%ta c#a-e e% t'picamente generada con re%pecto a# tiempo + a#guna% co%a% ta#e% como e# tamao de# archi-o o &echa" Lo% a#goritmo% u%ado% para #a encriptacin %on t'picamente D413 ?D413 ID4A3 :#o!&i%h3 16ip7ac63 8CJ3 + a%' %uce%i-amente" :ob pa%ara #a c#a-e de %eccin + e# men%a7e a tra-5% de una encriptacin de una -'a para obtener un -a#or ha%h" 4%te -a#or pro-ee integridad de #o dato% a%' e# men%a7e no %er/ a#terado en tr/n%ito" 4# a#goritmo u%ado en e%te pa%o %on KD;3 KD@3 KDJ + 19A$" KDJ e% u%ado con 11L + 19A$ e% u%ado por de&ecto con 1/KIK4" 4# -a#or ha%h generado e% ##amado re%umen de men%a7e" Luego :ob encripta e# -a#or ha%h con %u c#a-e pri-ada" U%ando #a c#a-e pri-ada de :ob3 A#ice e%ta con%ciente de ,ue e# men%a7e puede %er %o#o generado por :ob" 4# -a#or ha%h encriptado e% ##amado &irma" Luego :ob encripta e# men%a7e de emai# + cua#,uier archi-o ad7unto con una %eccin por de&ecto ,ue &ue generada en e# pa%o ;" 4%ta encriptacin pro-ee con&idencia#idad de #o% dato%" Luego :ob emite #a c#a-e de #a %eccin con #a c#a-e pub#ica de A#ice para a%egurar ,ue e# men%a7e puede %er de%encriptado %o#o con e# corre%pondiente c#a-e pri-ada de A#ice" 4%ta pro-i%in pro-ee autenti&icacin" De#e )r(/!" +, E$&"(0 4# men%a7e encriptado + e# re%umen de# men%a7e %on #uego en-iado% a# receptor" 4%te proce%o de de%encriptacin ocurre ca%i en orden re-er%a de# proce%o de encriptacin" A continuacin %e mue%tran #o% pa%o% ,ue tiene ,ue %eguir A#ice para #eer e# men%a7e de :ob $" La c#a-e de %eccin %im5trica (K* e% de%encriptada u%ando #a c#a-e pri-ada de A#ice (b* ;" 4# te.to encriptado e% de%encriptado u%ando #a c#a-e de %eccin %im5trica3 K3 para deri-ar e# men%a7e de :ob para A#ice" U%ted pen%ar'a ,ue A#ice puede ir ade#ante + #eer e# men%a7e3 pero #a autenticidad de# men%a7e nece%ita %er -eri&icada primero" ?" A#ice crea un re%umen de# men%a7e de%encriptado + #a c#a-e de %eccin u%ando #o% mi%mo% a#goritmo% http //!!!"codigo#ibre"org JH
Antonio Perpian
19A$ + KDJ u%ado% en #a etapa de encriptacin" @" A#ice u%a #a c#a-e pub#ica de :ob (A* para de%encriptar e# re%umen de# men%a7e (&irma* e# re%u#tado de #o% pa%o% ? + @ %on comparado%3 + un enca7e -eri&ica a# autenticidad + #a integridad" A#ice e%ta ahora preparada para #eer e# men%a7e de :ob" La %iguiente %eccin e.p#icara una imp#ementacin e%peci&ica de encriptacin de emai# como e% u%ado por #o% m5todo% ante% mencionado%" Se)ure MIME >S/MIME? 1/KIK4 u%a #e-emente di&erente% a#goritmo%3 &ormato% c#a-e% + c#a-e% de %er-idore% de%de PGP" 1/KIK4 tambi5n a#macena #a% c#a-e% di&erentemente" 1in embargo3 #o% principio% %on #o% mi%mo% ,ue e%te u%a para encriptar3 de%encriptar + &irmar #o% men%a7e%" E )r(/!")(* A#(&;!r()" Pr(A"!(A" Lotu% Note% + No-e## Group <i%e pueden u%ar a#goritmo% pri-ati-o%" 4# %er-idor de emai# encripta + de%encripta men%a7e% a# contrario de# c#iente" La -enta7a de ta#e% %i%tema% de encriptacione% propietaria% e% ,ue #a encriptacin e% integrada comp#etamente a# ni-e# de# %er-idor3 un u%uario %o#o nece%ita dar c#ic6 un botn para encriptar + de%encriptar" 4%ta %o#ucin e% e&iciente por,ue #o% u%uario% no tienen ,ue generar c#a-e% o ##e-ar a cabo pa%o% para de%encriptar un men%a7e" 4%te m5todo puede ahorrar un -a#io%o tiempo mientra% %e pro-ee %eguridad e&ecti-a" Una de%-enta7a de ta#e% m5todo% propietario% de encriptacin a%im5trica e% ,ue e% compatib#e %o#o por otro %er-idor de# mi%mo &abricante" A%'3 un u%uario de Lotu% Note% no puede en-iar emai# encriptado a un c#iente de No-e## Group <i%e" Por e7emp#o3 mucha% organi0acione% u%an UNiX para %er-idore% 1K)P + POP?" Cua#,uier comunicacin en-iada entre un %er-idor No-e## + un %er-idor UNiX no %era %egura a meno% ,ue e# u%uario emp#eo 1/KIK43 PGP u otro% programa% de encriptacin ,ue tienen capacidade% de p#ata&orma cru0ada" 4%ta re%triccin puede %igni&icati-amente #imitar #a habi#idad de comunicar%e %eguramente en %u organi0acin + toda-'a conducir #o% negocio%" Como &ue di%cutido anteriormente3 en re#acin con #a &uer0a de #a encriptacin3 cua#,uier &ormu#a nue-a o propietaria puede %er -i%ta con una di%tor%in %igni&icante ha%ta ,ue e%ta ha+a %ido -eri&icada comercia#mente" E )r(/!" +, Ar)G(A,# Adem/% de encriptar un emai#3 u%ted puede encriptar archi-o% + porcione% comp#eta% de di%co% duro%3 crear chec6%um% para archi-o% + crear impu#%o% ocu#to% encriptado%" &+J#u& 4# KDJ puede %er ap#icado en GNU/Linu. + en otra% p#ata&orma%" 4# uti#itario de GNU/Linu. mdJ%um crea un chec6%um de #ongitud &i7a de un archi-o indi-idua#" 4# archi-o puede %er de cua#,uier #ongitud3 pero e# chec6%um %iempre e%ta &i7ado a $;B bit" 4%te chec6%um e% 2ti# por,ue e% comparado a -er%ione% anteriore% para determinar %i un documento ha %ido &or0ado" 4# a#goritmo mdJ%um e% tambi5n #a ba%e para #a contra%ea ha%h a#macenada en /etc/%hado!%" Por e7emp#o3 %uponga ,ue u%ted de%ea -eri&icar %i e# archi-o nombrado ha %ido modi&icado" 4%te archi-o e% e# e7ecutab#e ,ue inicia e# %er-icio DN1 en %u %i%tema" Por ,ue e# nombrado e% un archi-o binario3 u%ted de%ea a%egurar ,ue nadie ha a#terado o reemp#a0ado con un )ro+ano" 4n e%te e7emp#o3 %uponga ,ue u%ted e%ta traba7ando con e# directorio /home/antonio/" U%ted puede e7ecutar e# %iguiente comando como
-antonio.local/ost 012 md3sum 4usr4s5in4apac/ectl
JA
Antonio Perpian
678798:e53887*c:aada56:a3d*;3daa 4usr4s5in4apac/ectl
La cadena de te.to inmediatamente deba7o de# comando mdJ%um e% ha%h de $;B bit% de# archi-o /u%r/%bin/apachect#" U%ted puede guardar #a %a#ida en un archi-o3 digamo% con e# nombre apachect#"mdJ"
2 md3sum 4usr4s5in4apac/ectl < apac/ectl.md3
4# contenido de# archi-o apachect#"mdJ aparece de #a %iguiente manera

678798:e53887*c:aada56:a3d*;3daa 4usr4s5in4apac/ectl YY Note ,ue e%te mapa de archi-o e% un ha%h de $;B bit% a# directorio e.acto de# archi-o chat" Para comparar #o% archi-o%3 u%ted puede u%ar do% e%trategia%"
U%e e# comando cat para comparar e# contenido de# archi-o apachect#"mdJ a #a %a#ida de# comando mdJ%um
-antonio.local/ost 012 cat apac/ectl.md3 678798:e53887*c:aada56:a3d*;3daa 4usr4s5in4apac/ectl -antonio.local/ost 012 md3sum 4usr4s5in4apac/ectl 678798:e53887*c:aada56:a3d*;3daa 4usr4s5in4apac/ectl
La %a#ida pre-ia mo%tr ,ue e# archi-o apachect#"mdJ no ha cambiado" 1i e# archi-o apachect# de a#guna manera cambio de%de #a u#tima -e0 ,ue e7ecuto mdJ%um3 u%ted -era una di&erencia cuando e7ecute de nue-o mdJ%um3 por e7emp#o #o hacemo% a# archi-o ,ue generamo% con e# comando mdJ%um + e# operador c + #o comparamo% de%pu5% de hacer#e un bre-e cambio a nue%tra copia de /etc/pa%%!d
-antonio.local/ost 012cp 4etc4pass=ord usuarios.t>t -antonio.local/ost 012 md3sum usuarios.t>t < usuarios.md3 -antonio.local/ost 012 cat usuarios.md3 533c?::7**da@@A5a;e7A3@@757cd6@A 4etc4pass=d
Ahora hacemo% un cambio a# archi-o u%ando un editor + e7ecutamo% #a %ecuencia de comando% anterior3 cambiamo% a root por GNU en #a primera #inea + #o generamo% nue-amente + #o de%p#egamo% en panta##a + -eremo% ,ue cambio comp#etamente re&#e7ando nue%tro cambio
-antonio.local/ost 012 md3sum usuarios.t>t < usuariosB6.md3 -antonio.local/ost 012 cat usuarios.md3 usuariosB6.md3 533c?::7**da@@A5a;e7A3@@757cd6@A usuarios.t>t :a;A6?A59c96a93*c;Ace98;76@*3*5c usuarios.t>
Note ,ue #a %a#ida e% ahora di&erente3 mo%trando ,ue e# archi-o de hecho ha %ido a#terado de%de #a 2#tima -e0 ,ue mdJ%um &ue e7ecutado" 4%te cambio ha ocurrido por ,ue a#goritmo% como KDJ u%an e# contenido de #o% archi-o% ,ue encriptan + generan -a#ore% ha%h de e%o% contenido%" 1i e# ma% #e-e cambio ocurre3 e# -a#or ha%h %era di&erente" U%e #a opcin >c
-antonio.local/ost C!RRAR12 md3sum Bc usuarios.md3 4etc4pass=d !D 4ditamo% a /etc/pa%%!d en pe,ueo cambio de una #etra en e# u#timo u%uario por e7emp#o en e# campo de comentario% -antonio.local/ost C!RRAR12 sudo su -root.local/ost C!RRAR1E nano 4etc4pass=d -root.local/ost C!RRAR1E e>it
=o#-emo% de nue-o a nue%tro u%uario + probamo% con >c" 4# cdigo anterior mue%tra ,ue no han ocurrido cambio%" 1i e# archi-o pa%%!d de a#guna manera tiene un cambio3 u%ted -era #a %iguiente %a#ida
-antonio.local/ost C!RRAR12 md3sum Bc usuarios.md3 4etc4pass=d FAILE" md3sum GARNINH A o* A computed c/ecIsum did N!T matc//
1i u%ted conoce un cambio ,ue ha ocurrido un cambio #egitimo a# archi-o + de%ea generar un nue-o -a#or ha%h3 u%ted borrara e# archi-o ,ue contiene e# -a#or ha%h ma% antiguo + creara uno nue-o" S(#!e&" +e Ar)G(A, Cr(/!,grC'(), >C2S? CF1 pro-ee una manera de encriptar + de%encriptar archi-o% en un %i%tema c#iente %in tener ,ue modi&icar e# http //!!!"codigo#ibre"org JB
Antonio Perpian
6erne# de# %i%tema" CF1 hace ,ue e# proce%o de encriptacin + de%encriptacin %ea tran%parente tanto para e# u%uario como tambi5n para #a% ap#icacione%" 4# CF1 tran%parente ()CF1* e% e%encia#mente una -er%in e.tendida de# 1i%tema de Archi-o% de 8ed (NF1*" 4%to permite a# NF1 %er u%ado para encriptar + de%encriptar" Como CF13 )CF1 re,uiere a#guna% modi&icacione%3 haci5ndo#o ma% comp#icado para con&igurar ,ue e# CF1" U%ando CF1 o )CF1 con PGP a #o #argo e% un m5todo de proteger dato% %en%ib#e% en un %i%tema + %u tran%ito" Cr-/! Como +a e%tab#ecimo% anteriormente3 #a &uncin cr+pt e% u%ada para encriptar contra%ea%" 4%ta tambi5n puede %er imp#ementada en cua#,uier &uncin para %i%tema% GNU/UNiX para encriptar dato%" La% p/gina% man de #a &uncin Cr+pt (?* (man cr+pt* contienen ma% in&ormacin de otra% imp#ementacione% de e%ta &uncin de encriptacin" A( - e0 C,&" +, :X Aun,ue e% ob-iamente in%eguro3 e# editor de te.to -i contiene #a opcin de proteger #o% archi-o% con encriptacin + contra%ea%" Cuando -i e%ta en modo comando3 e# comando X abrir/ un dia#ogo de encriptacin" 4# u%uario puede pro-eer una contra%ea u%ada para encriptar #o% archi-o%" Una -e0 e# archi-o e%ta encriptado3 e%te puede %er editado + guardado como norma#" 1in embargo3 cuando #a %eccin de# -i %e cierra3 e# programa pregunta por #a contra%ea ,ue &ue u%ado para encriptar e# archi-o ante% de ,ue pueda %er abierto" 1in e%a contra%ea3 e# archi-o nunca aparecer/ en te.to p#ano" 4n -e03 in&ormacin binaria %e de%p#egar/ para e# contenido de# archi-o" 4%to% programa% pro-een ni-e#e% de proteccin de%de &uerte ha%ta in%eguro" )odo% #o% u%uario% deben decidir cua#e% e%,uema% de encriptacin %on nece%ario% para %u% prop%ito%" 4%to e% tambi5n importante para regu#ar #a -eri&icar #a% pagina% de a#erta% de %eguridad3 ta#e% como http //!!!"cert"org3 para noticia% %obre programa% de encriptacin + a#goritmo%" E5er)()(, @$1: U#"r &+J#u& /"r" Cre"r CGe)D#u& 4n e%te e7ercicio3 u%ted u%ara #a uti#idad mdJ%um para -eri&icar %i %e han hecho% cambio% a #o% archi-o% directorio% %en%ib#e%" No %e pro-een %o#ucione% para e%te e7ercicio $" Ingre%e a %u %i%tema como ;" Cree un nue-o directorio -antonio.local/ost 012 mIdir md3Bpro5ar ?" Cambie a e%te directorio -antonio.local/ost 012 cd md3Bpro5ar @" Crear un nue-o archi-o en e%te directorio -antonio.local/ost md3Bpro5ar12 touc/ arc/i,o.t>t J" U%ando un editor de te.to ta# como -i3 entre e# %iguiente te.to $Al'uien aJu /a alterado o modi*icado este arc/i,o( H" 1a#ga de# editor de te.to3 a%egur/ndo%e de ,ue guardo #o% cambio%" 1i e%ta u%ando -i3 pre%ione 41C + bb" A" De%p#iegue e# chec6%um u%ando mdJ%um en panta##a -antonio.local/ost md3Bpro5ar12 md3sum arc/i,o.t>t *7A5*3AA7dc@?c@8*5c35ac?;99?:96d arc/i,o.t>t B" U%ted de%p#egar/ un ha%h de $;Bbit" 47ecute e# comando de nue-o3 pero e%ta -e0 grabe #a %a#ida a un archi-o %eparado de nombre archi-o"mdJ" -antonio.local/ost md3Bpro5ar12 md3sum arc/i,o.t>t < arc/i,o.md3 O" 4%te comando ha grabado e# ha%h de# archi-o"t.t dentro de un archi-o %eparado ##amado archi-o"mdJ" http //!!!"codigo#ibre"org JO
Antonio Perpian
$G" Agregue a# archi-o ahora en una nue-a #inea3 L4%to %e agreg de%pu5%M gu/rde#o + e7ecute mdJ%um de nue-o + cambie %u contenido" $$" 47ecute mdJ%um de nue-o" 4# programa debe de generar un nue-o ha%h" $;" da ,ue KDJ crea #argo% ha%he% de un archi-o3 u%ted probab#emente no puede recordar %i e%te e% un nue-o chec6%um" U%e cat para #eer e# archi-o ##amado archi-o"mdJ"
-antonio.local/ost md3Bpro5ar12 cat arc/i,o.md3 *7A5*3AA7dc@?c@8*5c35ac?;99?:96d arc/i,o.t>t
$?" Compare #a %a#ida de #o% do% comando%" Note ,ue #a &irma ha cambiado para archi-o"t.t por ,ue e# programa mdJ%um cambia radica#mente a# cambiar #a ma% minima parte de# contenido de e# archi-o + genera ha%h comp#etamene di&erente re&#e7ando ha%ta e# ma% pe,ueo cambio en un archi-o"
-antonio.local/ost md3Bpro5ar12 cat arc/i,o.md3 *7A5*3AA7dc@?c@8*5c35ac?;99?:96d arc/i,o.t>t -antonio.local/ost md3Bpro5ar12 md3sum arc/i,o.t>t :35*7;*7e*:c8@A@5@7783:@3*895?8d arc/i,o.t>t
$@" 1i tenemo% un ha%h de un archi-o grabado en e# directorio actua# no tenemo% por,ue comparar como hicimo% anteriormente3 1i %o%pechamo% ,ue e# archi-o ha cambiado %o#o tenemo% ,ue e&ectuar #a %iguiente prueba + e# comnado mdJ%um con #a opcin >c no% dir/ %i ha cambiado o no" Para e%ta prueba nue-amente e%cribimo% otra entrada en e# archi-o"t.t ,ue %o#o diga LAM + e7ecutamo% a%'
-antonio.local/ost md3Bpro5ar12 md3sum Bc arc/i,o.md3 arc/i,o.t>t FAILE" md3sum GARNINH A o* A computed c/ecIsum did N!T matc
I 'r"e#!ru)!ur" +e L0"Ae Pu40()" >PNI? Lo% %er-icio% P\I %on repo%itorio% para e# mane7o de ##a-e% pub#ica%3 certi&icado% + &irma%" Adema% de autenti&icar #a identidad de #a entidad ,ue po%ee un par dominante 3 P\I tambi5n pro-ee #a habi#idad de re-ocar una c#a-e %i no e% -a#ida" Una c#a-e %e -ue#-e in-a#idad %i3 por e7emp#o3 una c#a-e pub#ica e% crac6eada o hecha pub#ica" La meta principa# de P\I e% permitir ,ue #o% certi&icado% ,ue %ean generado% + re-ocado% tan r/pido como %ea po%ib#e" La% corporacione% e%t/n e%pecia#mente intere%ada% en #a habi#idad de e%tab#ecer r/pido3 #o% m5todo% %eguro% de comunicacin + P\I e% una %o#ucin prometedora" E#!C +"re# PNI P\I e%ta ba%ado en e# e%t/ndar X"JGO3 #o ,ue %igni&ica e%tandari0ar e# &ormato de #o% certi&icado% + como e%to% %on acce%ado%" Un e%t/ndar para P\I e%ta actua#mente %iendo de%arro##ado" A# momento de e%te e%crito3 e# u#timo 8FC inc#u'a
R2C @J17 R2C @JL7 R2C @JOJ R2C @JOP R2C @J@P Identi&ica #a% termino#og'a% + protoco#o% u%ado% en P\I" Pro-ee una di%cu%in de# On#ine Certi&icate 1tatu% Protoco# (OC1P*3 e# cua# habi#ita ap#icacione% enterada% de Internet para determinar r/pidamente #o -a#ido de un certi&icado" De%cribe #a ar,uitectura + protoco#o% u%ado% en P\I" 4.p#ica como #a -er%in ; de# Light!eight Director+ Acce%% Protoco# (LDAP;* e% u%ado para permitir acce%o a %er-idore% P\I" Un documento in&ormati-o e.p#icando e# prop%ito de P\I"
Ter&( ,0,g3" PNI 4# P\I u%a #o% %iguiente% e#emento% + t5rmino% < Cer!('()"+, +e Au!,r(+"+ >CA? 4%ta e% #a parte re%pon%ab#e por #a edicin de un certi&icado" Un CA puede de#egar autenticacin actua# para un Autoridad de 8egi%tro (8A*" Un 4ditor CA crea certi&icado para indi-iduo% (e7" entidade% &ina#e%*" http //!!!"codigo#ibre"org HG
Antonio Perpian
< Cer!('()"+, CA 4%te e% un archi-o ,ue contiene -ario% campo% para identi&icar un ho%t o per%ona en particu#ar" Un e7emp#o de un campo e% e# campo %u7eto en e# cua# #a per%ona o e# ho%t e% mencionado por e# nombre" < E !(+"+ 2( "0 4%te e% e# u%uario &ina# #i%tado en e# campo %u7eto" < De)0"r")(* +e P,03!()" +e0 Cer!('()"+, 4%te e% un documento pub#ico conteniendo reg#a% + procedimiento% aceptado% %obre e# CA + #a entidad &ina#" 4%te documento e%peci&ica #a ruta de certi&icacin + #a tecno#ogia ,ue habi#ita #a autenti&icacin" < Ru!" +e Cer!('()")(* 4%ta e% #a hi%toria detectab#e de #a% parte% ,ue han ate%tiguado para e# certi&icado" Lo% certi&icado% dependen a#tamente de #a integridad de #a% parte% ,ue ate%tiguan por e##o%" 1i un prob#ema e.i%te en una ruta de certi&icacin certi&icada3 e# certi&icado puede %er 7u0gado como in-a#ido + debe de %er re-ocado" < Au!,r(+"+ +e Reg(#!r"!(, >RA? 4%ta e% #a parte re%pon%ab#e por -eri&icar #a identidad actua# de una per%ona o ho%t intere%ado en participar en un e%,uema P\I" < Re/,#(!,r(, 4%ta e% una %erie de rede% di%tribuida ,ue permiten acce%o a #o% certi&icado%" < Cer!('()"+,# D(g(!"0e# Un certi&icado digita# e% una imp#ementacin e%peci&ica de una c#a-e" Un n2mero de compa'a%3 ##amada% CA3 emite un certi&icado de autenti&icacin + &irma con %u% &irma% para indicar una -a#idacin de un programa" Una de e%a% compa'a% e% =eri1ign" =eri1ign certi&ica %on una c#a-e pub#ica de u%uario% o %itio% <eb" La di&erencia e% ,ue una c#a-e pub#ica ha %ido -eri&icada como perteneciente a una compa'a o per%ona en particu#ar" A continuacin e%t/n #o% cuatro% tipo% de certi&icado% < Cer!('()"+, CA 4%te e% u%ado por CA para -a#idar otro CA como un re%u#tado con&iab#e" 1o#o un poco de #o% CA autom/ticamente %on con&iab#e% por #o% bu%cadore% de <eb" < SerA(+,r +e Cer!('()"+,# 4%te e% u%ado para -eri&icar un %er-idor <eb de una compa'a" Una compa'a ap#ica para un %er-idor de certi&icado + en-iar #a peticin de una de #a% -aria% CA" 4# CA -eri&icara ,ue #a compa'a e% #egitima3 #uego en-i/ un certi&icado digita# a #a compa'a" < Cer!('()"+, Per#, "0 4%te e% u%ado por #o% indi-iduo%3 u%ua#mente para encriptar emai#" 4# indi-iduo contacta un CA hacer una peticin de un certi&icado digita#" La 2nica -eri&icacin ,ue e# CA rea#i0a e% por direccin de emai#" 4# CA en-i/ e# certi&icado a #a direccin de emai# e%peci&icada por e# indi-iduo" 4n teor'a3 %o#o e%a per%ona tendr/ acce%o a #a cuenta de emai#3 por #o tanto3 %er e# 2nico ,ue puede recuperar%e + u%ar e# certi&icado" < S,'!M"re , E+(!,r Cer!('()"+, 4%te e% u%ado para -a#idar e# cdigo de# %o&t!are" Por e7emp#o3 %i un u%uario acce%a un %itio <eb ,ue e%ta tratando de de%cargar un app#et de Na-a o un contro# Acti-eX3 una ad-ertencia de %eguridad u%ua#mente aparecen" 4# editor certi&icado e% u%ado para -a#idar e# cdigo para a%egurar#e a# u%uario ,ue e# cdigo no contiene programacin ma#icio%a" Un %er-idor <eb puede tambi5n actuar como %u propio CA con 11L habi#itado a un ho%t para pagina% %in editar un certi&icado de%de un CA de tercera parte" Lo% certi&icado% digita#e% %on componente% c#a-e% en e%tab#ecer tran%accione% %egura% entre m2#tip#e% c#iente% a%' como #a% autoridade% de certi&icacin" 4%ta %eccin di%cutir/ #a creacin de certi&icado% digita#e% + %u u%o en e# comercio e#ectrnico + un %itio de %eguridad" http //!!!"codigo#ibre"org H$
Antonio Perpian
:Bu; e# u Cer!('()"+, D(g(!"01 Un certi&icado digita# e% un mecani%mo de autenti&icacin u%ado para a#can0ar tran%accione% entre do% parte%I e%to debe %er -i%to como e# e,ui-a#ente digita# de una tar7eta de identi&icacin" Cuando do% parte% de%ean conducir una tran%accin3 e% e%encia# ,ue una con&ian0a mutua# e.i%te entre e##o%" 4%ta con&ian0a puede %er a#can0ada por #a% do% parte% conociendo uno de otro o por cada parte con&iando en una tercera parte conocida" Un certi&icado digita# e% nada pero una autori0acin de una tercera parte con&iada tratando #a integridad de cua#,uier parte" Un certi&icado digita# e%ta t'picamente comprometido de #a %iguiente in&ormacin Deta##e% ,ue identi&ican e# %itio particu#ar La c#a-e pub#ica para un %itio particu#ar 4# periodo por e# cua# e# certi&icado e% -a#ido Una &irma digita# -a#idando e# certi&icado Una #i%ta de operacione% ,ue pueden %er rea#i0ada% u%ando e# certi&icado" :Bu; e# u " Cer!('()"+, +e Au!,r(+"+1 La tercera parte con&iada en #a di%cu%in anterior e% ma% a menudo re&erida como #a Autoridad Certi&icada (CA*" La% parte% %o#icitante% pre%entan %u% credencia#e% a# CA3 en #a cua# %e -eri&ican #a% credencia#e% de amba% parte%3 digita#mente &irmara abarcando #a% entidade% credencia#e%" La certi&icacin de autoridad generara una combinacin de c#a-e% pub#ica% + pri-ada% para #a entidad" 4# u%o de c#a-e% pub#ica% + pri-ada% %era di%cutido con ma% deta##e a continuacin" 4n un e%cenario rea#3 e# proce%o de con&ian0a no e% tan %imp#e" Ka% a menudo3 e.i%ten m2#tip#e% CA" La% parte% %o#icitante% contactan #a autoridad ,ue tienen una prioridad de re#acin de con&ian0a" 4%ta% parte% %o#icitante% pueden no tener una re#acin con un CA mutuo" Para i#u%trar#o3 con%idere entidade% A + C + certi&icado% de autoridad : + D" tambi5n a%uma ,ue A + : con&'an uno de# otro + C tiene un certi&icado digita# &irmado por :I %imi#armente3 C + D con&'an uno de# otro3 + C tiene un certi&icado digita# &irmado por D" Ahora nace un prob#ema prob#ema intere%ante3 cuando A + C de%ean tener una tran%accin entre e##a%" 4# C dice contacte a A + pre%ente %u certi&icado digita#3 pero A no tiene manera de -eri&icar #a integridad de# certi&icado digita# de C de%de ,ue no e%ta &irmado por #a tercera parte A" 4n ta# e%cenario3 un mecani%mo e% nece%ario por e# ,ue #o% certi&icado% de autoridad con&'an uno de# otro" 1i : + D tienen una re#acin de con&ian0a3 e# prob#ema puede %er re%ue#to &/ci#mente" )'picamente e# CA de&ine #a% po#'tica% + pauta% para #o %iguiente =eri&icando identidad 4mi%in de certi&icado 8eno-acin de certi&icado% 8e-ocando certi&icado% Lo% %iguiente% %on uno% CA Ceri1ign Netru%t Digita# Certi&icate% Open Financia# 4.change :C,&, !r"4"5" 0,# )er!('()"+,# +(g(!"0e#1 Cuando un certi&icado digita# e% in%ta#ado en un %itio3 una combinacin de c#a-e% pri-ada%/pub#ica e% http //!!!"codigo#ibre"org H;
Antonio Perpian
generada" 4%te par de c#a-e% e% 2nica en e%o3 #a% c#a-e% %on e%peci&ica% de# %itio + un men%a7e ,ue e% encriptado u%ando #a c#a-e pub#ica puede %o#o %er de%encriptado u%ando ,ue e%a% c#a-e% pri-ada% e%peci&ica%" 4%te concepto e% amp#iamente re&erido como una c#a-e pub#ica criptogr/&ica" Pre-iamente3 #a ma+or'a de #a% comunicacione% &ue hecha u%ando una c#a-e %enci##a de criptogra&'a3 pero e% in%eguro como #a c#a-e pri-ada tendr/ ,ue %er compartida con #a% otra% parte%" 4n #a c#a-e pub#ica criptogr/&ica3 #a c#a-e pri-ada nunca de7a e# %itioI e%ta e% #a c#a-e pub#ica ,ue e% compartida" La c#a-e pub#ica puede %er pub#icada ha%ta editada en #a <eb" Lo% %iguiente% pa%o% %on imp#icado% $" Cuando un %itio c#iente contacta e# %itio de# %er-idor e# certi&icado digita# in%ta#ado3 ,ui0/% u%ando un bu%cador <eb ,ue tiene 11L habi#itado3 e# c#iente %e autori0a a u%ar #o% certi&icado% digita#e%" ;" De%pu5% de -a#idar e# certi&icado de# c#iente3 e# %er-idor pa%a %u certi&icado" ?" 4# c#iente3 a%'3 recibe #a c#a-e pub#ica de# %er-idor" @" Luego e# c#iente genera una c#a-e de %eccin ba%ada en #a c#a-e pub#ica de# %er-idor ,ue unicamente identi&ica #a %eccin entre e# c#iente + e# %er-idor" J" La c#a-e de %eccin t'picamente tiene un tiempo de duracin ,ue e% -a#ido" H" Cua#,uier comunicacin entre e# %er-idor + e# c#iente e%ta encriptado ba%ado en #a c#a-e de %eccin" A" 4# %er-idor puede de%encriptar e# men%a7e u%ando %u c#a-e pri-ada" B" 4%to e%tab#ece una comunicacin %eguro entre %itio% ,ue tienen certi&icado% digita#e% in%ta#ado%" U#, +e 0,# Cer!('()"+,# D(g(!"0e# Lo% certi&icado% digita#e% %on amp#iamente emp#eado% en comercio e#ectrnico + %itio% incorporado% de %eguridad" La% ap#icacione% de comercio e#ectrnico imp#ican negocio + pago a tra-5% de# Internet" 4%to %igni&icar'a ,ue #a in&ormacin %en%ib#e como #o% deta##e% de #o% n2mero% de tar7eta de cr5dito de #o% u%uario% + #a in&ormacin de #a cuenta bancaria tiene ,ue %er pa%ada a tra-5% de# Internet" 1itio% &raudu#ento% pueden imitar in%eguridad + comprometer #o% %itio% por ad,ui%icin de in&ormacin %en%ib#e de #o% u%uario%" 4n ta#e% ca%o%3 #o% u%uario% %er/n 7u%ti&icado% e%perando -eri&icar #a identidad de #a entidad con #a ,ue e##o% e%t/n conduciendo #a tran%accin" Lo% certi&icado% digita#e% prueban %er herramienta% podero%a% en hacer cump#ir &irmemente #a% medida% de %eguridad actuando como un identidad digita# para %itio% particu#are%3 -eri&icando %u integridad" Lo% certi&icado% digita#e% a+udan a -eri&icar %i una entidad e% ,uien dice ,ue e%" Pre!!- G,,+ Pr(A")- >PGP? Prett+ Good(mr* Pri-ac+ (PGP*3 TPri-acidad 1u&icientemente :uenaT3 de Phi#Z% Prett+ Good 1o&t!are3 e% una ap#icacin in&orm/tica de criptogra&'a de a#ta %eguridad para K1DO13 UNiX3 =AX/=K1 + otro% %i%tema% operati-o%" PGP permite intercambiar archi-o% + men%a7e% con pri-acidad3 autenticacin + comodidad" Por LPri-acidadM %e ,uiere decir ,ue %#o podr/n #eer e# men%a7e a,ue##o% a ,uiene% -a dirigido" Por LAutenticacinM ,uiere de7ar dicho ,ue #o% men%a7e% ,ue parecen %er de a#guien %#o pueden -enir de e%a per%ona en particu#ar" LComodidadM ,ueremo% decir ,ue #a pri-acidad + #a autenticacin %e con%iguen %in #o% prob#ema% de ge%tin de c#a-e% a%ociado% a otro% programa% de criptogra&'a con-enciona#" No %e nece%itan cana#e% %eguro% para intercambiar #a% c#a-e% entre #o% u%uario%3 por #o ,ue PGP re%u#ta mucho m/% &/ci# de uti#i0ar" 4%to %e debe a ,ue PGP e%t/ ba%ado en una potente nue-a tecno#og'a ##amada criptogra&'a de Lc#a-e p2b#icaM" PGP combina #a comodidad de# cripto%i%tema de c#a-e p2b#ica de 8i-e%t>1hamir>Ad#eman (81A* con #a -e#ocidad de #a criptogra&'a con-enciona#3 re%2mene% de men%a7e% para &irma% digita#e%3 compre%in de dato% ante% de encriptar3 un buen di%eo ergonmico + una comp#eta ge%tin de c#a-e%" Por otra parte3 PGP rea#i0a #a% &uncione% de ##a-e p2b#ica con m/% r/pide0 ,ue #a ma+or'a de #a% dem/% imp#ementacione% in&orm/tica%" PGP e% criptogra&'a de c#a-e p2b#ica para todo%" PGP no ##e-a incorporada comunicacin por mdem" Para e##o debe http //!!!"codigo#ibre"org H?
Antonio Perpian uti#i0ar%e otro programa di%tinto"
:P,r .u; #e Ne)e#(!" PGP1 Puede% e%tar p#ani&icando una campaa de comercia#i0acin de un producto o una campaa po#'tica de un candidato3 hab#ando %obre e# pago de tu% impue%to% o %o%teniendo %imp#emente una a-entura amoro%a" 9a%ta puede %er ,ue e%te practicando acti-i%mo %ocia# + comunicando a#go ,ue en tu opinin no deber'a %er i#ega#3 como #a interpretacin de #a Lpirater,aM3 pero ,ue %i #o e%" 1ea #o ,ue &uere3 no ,uiere% ,ue nadie m/% #ea tu correo% e#ectrnico% pri-ado% ni tu% documento% con&idencia#e%" No ha+ nada ma#o en a&irmar tu derecho a #a pri-acidad" 4# derecho a #a pri-acidad e% tan b/%ico como #a Con%titucin" Puede ,ue pien%e% ,ue tu emai# e% #o ba%tante #eg'timo como para no nece%itar encriptacin" 1i ere% en rea#idad un ciudadano re%petuo%o de #a #e+3 %in nada ,ue ocu#tar3 Cpor ,u5 no en-'a% %iempre e# correo habitua# en po%ta#e% %in %obre% con e# men%a7e por &ueraE CPor ,u5 no te %omete% -o#untariamente a prueba% de deteccin de droga%E CPor ,u5 e.ige% un mandamiento 7udicia# para ,ue #a po#ic'a regi%tre tu ca%a regu#armenteE C4%t/% intentando e%conder a#goE Probab#emente ere% un %ub-er%or3 o un tra&icante de droga%3 %i ocu#ta% e# correo en %obre%" O ,ui0/ un e.c5ntrico paranoico" La %imp#e re%pue%ta e% LPri-acidadM3 aun,ue no participe% en ninguna acti-idad i#'cita #o% %ere% humano% re,uieren LIntimidadM" :T(e e 0,# C(u+"+" ,# .ue Cu&/0e 0" Le- "0gu " Ne)e#(+"+ +e E )r(/!"r #u E$&"(01 CDu5 pa%ar'a %i todo e# mundo cre+e%e ,ue #o% ciudadano% re%petuo%o% de #a #e+ deber'an uti#i0ar po%ta#e% para en-iar %u% correo%E 1i a#g2n e%p'ritu -a#iente intenta%e a&irmar %u intimidad uti#i0ando un %obre3 #e-antar'a %o%pecha%" La% autoridade% ,ui0/ abrir'an %u correo para -er ,u5 e%t/ ocu#tando" A&ortunadamente no -i-imo% en un mundo a%' + #a ma+or parte de# correo %e protege con %obre%" Nadie #e-anta %o%pecha% por a&irmar %u derecho a #a intimidad con un %imp#e %obre" Internet pro-ee un %entido de %eguridad ba%ada en #o% grande% n2mero% de u%uario% + rede% di%ponib#e% ,ue parecer'a ca%i impo%ib#e ,ue uno &ue%e e# b#anco de ata,ue" 1er'a intere%ante ,ue todo e# mundo uti#i0a%e habitua#mente e# ci&rado en %u emai#%3 &ue%e inocente o no3 para ,ue nadie #e-anta%e %o%pecha% por a&irmar de e%a manera %u derecho a #a intimidad" Pi5n%a#o como una &orma de %o#idaridad hacia e# derecho a #a intimidad de #o% otro%" 9o+ en d'a3 %i e# gobierno ,uiere in-adir #a pri-acidad de %u% ciudadano% com2n + corriente tiene ,ue emp#ear cierta cantidad de e%&uer0o3 dinero + tiempo en interceptar + abrir a# -apor e# correo norma#3 o en e%cuchar con-er%acione% de ce#u#are% + te#5&ono% &i7o%3 + ,ui0/ tener ,ue tran%cribir3 #a% con-er%acione% te#e&nica%" 4%te tipo de contro#3 mu+ #aborio%o3 no re%u#ta pr/ctico %i %e ,uiere ##e-ar a gran e%ca#a3 digamo% toda #a pob#acin ha%ta de una %o#a pro-incia" 1#o %e rea#i0a en ca%o% importante%3 donde parece ,ue -a a merecer #a pena" Cada d'a #a ma+or parte de nue%tra comunicacin pri-ada %e dirige por cana#e% e#ectrnico%" 4# correo e#ectrnico reemp#a0 tota#mente e# correo con-enciona#3 cua# %o#o e% u%ado para e# en-'o de pa,uete%" Lo% men%a7e% por emai# %on dema%iado &/ci#e% de interceptar + de e.p#orar para bu%car pa#abra% intere%ante%" Lo importante e% ,ue hacer e%to a gran e%ca#a3 e% e.tremadamente &/ci#mente3 peor a2n %e puede automati0ar + ##e-ar a cabo de una &orma impo%ib#e de detectar" 4.i%te %o%pecha bien &undada ,ue #a N1A e.p#ora +a de e%ta manera #o% cab#egrama% internaciona#e%" No% dirigimo% hacia un &uturo en e# ,ue #o% pa'%e% e%tar/n cru0ado% de #ado a #ado por rede% de dato% ba%ada% en &ibra ptica de a#ta capacidad + otro% medio% de a#ta -e#ocidad3 ,ue conectar/n todo% nue%tro% computadore% per%ona#e% cada -e0 m/% ubicuo%" 4# 4>mai# %er/ #a norma para todo%3 no #a no-edad ,ue re%u#ta ho+ en d'a por e# a#to numero de per%ona% de%conectada% %in acce%o a Internet ,ue e.i%te a2n" Puede ,ue #o% gobierno% #oca#e% prote7an nue%tro emai#% con a#goritmo% de ci&rado di%eado% por e##o% mi%mo%" d puede ,ue #a ma+or'a de #a http //!!!"codigo#ibre"org H@
Antonio Perpian
pob#acin e%t5 de acuerdo" Pero a#guno% pre&erir/n tomar %u% propia% medida% de proteccin" La propue%ta de #e+ ;HH de# ao $OOO de# 1enado de #o% 4%tado% Unido%3 una propue%ta con7unta contra e# de#ito e#ectrnico3 ten'a ocu#ta una medida in,uietante" 1i e%ta re%o#ucin no -incu#ante hubie%e ##egado a %er #e+3 habr'a ob#igado a #o% &abricante% de e,uipo% de comunicacione% %egura% a inc#uir Lpuerta% tra%era%M en %u% producto% para ,ue e# Gobierno pudie%e #eer cua#,uier men%a7e ci&rado" _1u traduccin a# ca%te##ano` e% #a %iguiente L4% #a opinin de# Congre%o ,ue #o% pro-eedore% de %er-icio% de comunicacin e#ectrnica + #o% &abricante% de e,uipo% para %er-icio% de comunicacin e#ectrnica deben garanti0ar ,ue #o% %i%tema% de comunicacin permitan a# Gobierno obtener e# contenido origina# de #a% comunicacione% de -o03 dato% + otra% comunicacione%3 cuando e%t5 adecuadamente autori0ado por #a #e+M" 4%ta medida &ue de%e%timada tra% una riguro%a prote%ta por parte de de&en%ore% de #a #ibertad ci-i# + de grupo% empre%aria#e%" 4n $OO;3 #a propue%ta de# F:I %obre inter-encin de te#e&on'a digita# %e pre%ent en e# Congre%o norteamericano" Ob#igar'a a todo% #o% &abricante% de e,uipo% de comunicacione% a integrar uno% puerto% e%pecia#e% para #a inter-encin a di%tancia3 ,ue permitir'a a# F:I inter-enir todo tipo de comunicacin e#ectrnica de%de %u% o&icina%" Aun,ue no con%igui ning2n apo+o en e# Congre%o gracia% a #a opo%icin ciudadana3 -o#-i a pre%entar%e en $OO@" Lo m/% a#armante e% #a nue-a + en5rgica iniciati-a de #a Ca%a :#anca %obre po#'tica criptogr/&ica3 de%arro##ada en #a N1A de%de e# inicio de #a admini%tracin :u%h + pre%entada e# $H de Abri# de $OO?" La parte centra# de e%ta iniciati-a e% un di%po%iti-o criptogr/&ico con%truido por e# Gobierno3 ##amado e# LChip C#ipperM3 ,ue contiene un nue-o a#goritmo criptogr/&ico %ecreto de #a N1A" 4# Gobierno anima a #a% empre%a% pri-ada% a ,ue #o inc#u+an en todo% %u% producto% de comunicacione% %egura%3 como te#5&ono%3 &a.3 etc" A)V ) e%t/ in%ta#ando C#ipper en todo% %u% producto% %eguro% para -o0" La trampa en #a &/brica3 cada Chip C#ipper %e carga con %u propia c#a-e 2nica + e# Gobierno mantiene una copia en dep%ito" Pero no ha+ ,ue preocupar%e>> e# Gobierno promete ,ue %#o uti#i0ar/ e%a% c#a-e% para #eer #a% comunicacione% cuando e%t5 autori0ado por #a #e+" Natura#mente3 para ,ue C#ipper %ea e&ecti-o3 e# %iguiente pa%o #gico %er'a pro%cribir otra% &orma% de criptogra&'a" 1i #a intimidad %e pro%cribe3 %#o #o% pro%crito% tendr/n intimidad" Lo% %er-icio% de inte#igencia tienen acce%o a tecno#og'a criptogr/&ica de ca#idad" Lo mi%mo ocurre con #o% grande% tra&icante% de arma% + #o% narcotra&icante%" )ambi5n di%ponen de e##o% #o% contrati%ta% de# e75rcito3 #a% compa'a% de petr#eo + otro% gigante% empre%aria#e%" Pero #a ma+or'a de #a gente norma# + corriente + de #a% organi0acione% po#'tica% de ba%e no han tenido nunca a %u a#cance a una tecno#og'a a%e,uib#e para uti#i0ar cripto#og'a de c#a-e p2b#ica de Lgrado mi#itarM" 9a%ta ahora" PGP o&rece a #a gente #a capacidad de tener %u pri-acidad en %u% propia% mano%" :C*&, 'u )(, "1 1er'a de a+uda ,ue e%tu-ie%e% &ami#iari0ado con e# concepto de criptogra&'a en genera# + con e# de criptogra&'a de c#a-e p2b#ica en particu#ar" 4n cua#,uier ca%o3 he a,u' una% cuanta% ob%er-acione% como introduccin" 4n primer #ugar3 a#go de -ocabu#ario b/%ico" 1upongamo% ,ue +o ,uiero en-iar#e un men%a7e ,ue nadie e.cepto u%ted pueda #eer" Podr'a LencriptarM o Lci&rarM e# men%a7e3 #o ,ue %igni&ica re-o#-er#o de una &orma tremendamente comp#icada3 con e# &in de ,ue re%u#te i#egib#e para cua#,uiera otra per%ona ,ue no %ea u%ted3 e# de%tinatario origina# de# men%a7e" do e#i7o una Lc#a-eM criptogr/&ica para encriptar e# men%a7e + u%ted tiene ,ue uti#i0ar e%ta mi%ma c#a-e para de%ci&rar#o o Lde%encriptar#oM" Por #o meno% a%' &unciona en #o% cripto%i%tema% con-enciona#e% de Lc#a-e 2nicaM"
HJ
Antonio Perpian
4n #o% cripto%i%tema% con-enciona#e%3 como e# U1 Federa# Data 4ncr+ption 1tandard (D41* eNorma &edera# para ci&rado de dato% en 44"UU"f3 %e uti#i0a una %o#a c#a-e para encriptar + de%encriptar" Por #o tanto3 ha+ ,ue tran%mitir primero #a c#a-e por medio de un cana# %eguro para ,ue amba% parte% #a cono0can ante% de en-iar men%a7e% ci&rado% por cana#e% in%eguro%" 4%te proce%o puede re%u#tar incmodo" 1i %e tiene un cana# %eguro para intercambiar c#a-e%3 entonce% Cpara ,u5 %e nece%ita criptogra&'aE 4n cripto%i%tema% de c#a-e p2b#ica3 todo e# mundo tiene do% c#a-e% comp#ementaria%3 una re-e#ada p2b#icamente + otra %ecreta (##amada tambi5n c#a-e pri-ada*" Cada c#a-e abre e# cdigo ,ue produce #a otra" 1aber #a c#a-e p2b#ica no %ir-e para deducir #a c#a-e %ecreta corre%pondiente" La c#a-e p2b#ica puede pub#icar%e + di%tribuir%e amp#iamente por una red de comunicacione%" 4%te protoco#o proporciona pri-acidad %in nece%idad de e%e cana# %eguro ,ue re,uieren #o% cripto%i%tema% con-enciona#e%" Cua#,uiera puede uti#i0ar #a c#a-e p2b#ica de un de%tinatario para encriptar un men%a7e + 5# emp#ear/ %u c#a-e %ecreta corre%pondiente para de%encriptar#o" 1#o 5# podr/ hacer#o3 por,ue nadie m/% tiene acce%o a e%a c#a-e %ecreta" Ni %i,uiera #a per%ona ,ue #o encript podr'a de%ci&rar#o" )ambi5n proporciona autenticacin para men%a7e%" La c#a-e %ecreta de# remitente puede emp#ear%e para encriptar un men%a7e3 L&irm/ndo#oM" 1e genera una &irma digita#3 ,ue e# de%tinatario (o cua#,uier otra per%ona* puede comprobar a# de%ci&rar#a con #a c#a-e p2b#ica de# remitente" De e%ta &orma %e prueba e# -erdadero origen de# men%a7e + ,ue no ha %ido a#terado por nadie3 +a ,ue %#o e# remitente po%ee #a c#a-e %ecreta ,ue ha producido e%a &irma" No e% po%ib#e &a#%i&icar un men%a7e &irmado + e# remitente no podr/ de%autori0ar %u &irma m/% ade#ante" 4%to% do% proce%o% pueden combinar%e para obtener pri-acidad + autenticacin a# mi%mo tiempo %i %e &irma primero e# men%a7e con #a c#a-e %ecreta + %e encripta de%pu5% e# men%a7e &irmado con #a c#a-e p2b#ica de# de%tinatario" 4# de%tinatario %igue e%to% pa%o% en %entido contrario a# de%encriptar primero e# men%a7e con %u propia c#a-e %ecreta + comprobar de%pu5% #a &irma con #a c#a-e p2b#ica de# remitente" 4# programa #o hace autom/ticamente" Como e# a#goritmo de ci&rado en c#a-e p2b#ica e% mucho m/% #ento ,ue e# ci&rado con-enciona# de c#a-e 2nica3 e# proce%o re%u#ta m/% e&ica0 con un a#goritmo con-enciona# r/pido de a#ta ca#idad3 de c#a-e 2nica3 para encriptar e# men%a7e" 4# men%a7e origina# %in encriptar %e denomina Lte.to p#anoM" 1in #a inter-encin de# u%uario %e uti#i0a una c#a-e a#eatoria tempora#3 generada %#o para e%a L%e%inM3 para encriptar con-enciona#mente e# archi-o norma#" De%pu5% %e encripta e%a c#a-e a#eatoria con-enciona# con #a c#a-e p2b#ica de# de%tinatario" La c#a-e de #a L%e%inM con-enciona#3 encriptada con e%a c#a-e p2b#ica3 %e en-'a a# de%tinatario 7unto a# te.to ci&rado" 4# de%tinatario recupera e%a c#a-e tempora# con %u propia c#a-e %ecreta + e7ecuta con e##a e# a#goritmo con-enciona# de c#a-e 2nica3 m/% r/pido3 para de%encriptar e# men%a7e ci&rado" La% c#a-e% p2b#ica% %e guardan en Lcerti&icado% de c#a-eM indi-idua#e% ,ue inc#u+en e# identi&icador de u%uario de# propietario (e# nombre de e%a per%ona e+ a#g2n dato 2nico3 como #a direccin de 4>mai#f*3 un %e##o de hora de# momento en e# ,ue %e gener e# par + e# materia# propio de #a c#a-e" Cada c#a-e %ecreta e%t/ encriptada con %u propia contra%ea3 por %i a#guien roba #a c#a-e" Cada archi-o (Lani##oM* de c#a-e% contiene uno o m/% de e%o% certi&icado%" La% c#a-e% %e identi&ican internamente mediante un Lidenti&icador de c#a-eM3 ,ue e% una Labre-iaturaM de #a c#a-e p2b#ica (%u% H@ bit% meno% %igni&icati-o%*" Cuando %e mue%tra e%te identi&icador3 %#o aparecen #o% ?; bit% in&eriore% para ma+or bre-edad" Aun,ue mucha% c#a-e% pueden compartir e# mi%mo identi&icador de u%uario3 a e&ecto% pr/ctico% no ha+ do% c#a-e% ,ue compartan e# mi%mo identi&icador de c#a-e" http //!!!"codigo#ibre"org HH
Antonio Perpian
PGP uti#i0a Lre%2mene% de men%a7eM para e#aborar #a% &irma%" Un re%umen de men%a7e e% una &uncin Ldi%tribucinM (Lha%hM* unidirecciona# de $;B bit%3 criptogr/&icamente re%i%tente3 de e%e men%a7e" 4% an/#ogo a una L%uma de -eri&icacinM o cdigo C8C de comprobacin de errore% Lrepre%entaM e# men%a7e de &orma compacta + %e uti#i0a para detectar cambio% en 5#" A di&erencia de un C8C3 %in embargo3 re%u#ta computaciona#mente impracticab#e para un atacante idear un men%a7e %u%tituti-o ,ue produ0ca un re%umen id5ntico" 4# re%umen de# men%a7e %e encripta con #a c#a-e %ecreta para e#aborar #a &irma" Lo% documento% %e &irman aadi5ndo#e% como pre&i7o un certi&icado de &irma3 7unto con e# identi&icador de #a c#a-e ,ue %e uti#i0 para rea#i0ar#a3 un re%umen de men%a7e de# documento (&irmado con #a c#a-e %ecreta* + un %e##o de hora de# momento de #a &irma" 4# de%tinatario uti#i0a e# identi&icador de #a c#a-e para bu%car #a c#a-e p2b#ica de# remitente + comprobar #a &irma" 4# programa bu%ca autom/ticamente #a c#a-e p2b#ica + e# identi&icador de u%uario en e# archi-o de c#a-e% corre%pondiente" Lo% archi-o% ci&rado% ##e-an como pre&i7o e# identi&icador de #a c#a-e p2b#ica con #a ,ue %e han encriptado" 4# de%tinatario uti#i0a e%te pre&i7o de identi&icacin para encontrar #a c#a-e %ecreta + poder de%encriptar e# men%a7e" 1u programa bu%ca autom/ticamente #a c#a-e %ecreta en e# archi-o de c#a-e% corre%pondiente" 4%to% do% tipo% de archi-o con%titu+en e# m5todo principa# para a#macenar + ge%tionar #a% c#a-e% p2b#ica% + %ecreta%" 4n #ugar de mantener #a% c#a-e% indi-idua#e% en archi-o %eparado%3 %e re2nen en ani##o% para &aci#itar #a b2%,ueda autom/tica3 +a %ea por identi&icador de c#a-e o por identi&icador de u%uario" Cada u%uario mantiene %u propio par de ani##o%" La% c#a-e% p2b#ica% indi-idua#e% %e guardan en archi-o% aparte durante e# tiempo nece%ario para en-iar#a% a a#g2n amigo3 ,ue #a% aadir/ entonce% a %u propio ani##o de c#a-e%" :C*&, u!(0(6"r PGP1 Encriptaci+n de un mensaKe A* Para encriptar un archi-o de te.to p#ano con #a c#a-e p2b#ica de# de%tinatario3 e%criba Q /g/ $e "r)G(A,I!%! #uR(+e !('()"+,r :* 4%ta orden produce un te.to ci&rado ##amado archi-o"pgp" Un e7emp#o podr'a %er Q /g/ $e )"r!"I!%! A !, (, Q /g/ $e )"r!"I!%! SA !, (, PT 4# primer e7emp#o bu%ca en e# archi-o de c#a-e% p2b#ica% Lpubring"pgpM a#g2n certi&icado ,ue contenga #a cadena de caractere% LAntonioM e# cua# e% e# identi&icador de u%uario" 4# %egundo e7emp#o encontrar/ cua#,uier identi&icador ,ue contenga LAntonio PT" No %e pueden inc#uir e%pacio% en #a cadena dentro de #a #'nea de rdene% %i no e% entre comi##a%" La b2%,ueda no tiene en cuenta e# tipo de #etra (ma+2%cu#a% o min2%cu#a%*" 1i %e encuentra una c#a-e p2b#ica ,ue coincide3 PGP #a uti#i0a para encriptar e# archi-o norma# Lcarta"t.tM + produce un archi-o ci&rado ##amado Lcarta"t.t"pgpT" PGP intenta comprimir e# te.to p#ano ante% de encriptar#o3 #o ,ue me7ora con%iderab#emente %u re%i%tencia a# criptoan/#i%i%" Por e%ta ra0n3 e# archi-o ci&rado %er/ probab#emente menor ,ue e# archi-o norma#" 1i ,uiere% en-iar e# men%a7e ci&rado por cana#e% de 4>mai#3 con-i5rte#o a# &ormato A1CII imprimib#e Lradi.>H@M aadiendo #a opcin >a3 ta# como mo%traremo% m/% ade#ante" E )r(/!")(* +e u Me #"5e /"r" M=0!(/0e# De#!( "!"r(,# 1i ,uiere% en-iar e# mi%mo men%a7e a m/% de una per%ona3 puede encriptar#o para -ario% de%tinatario%3 cua#,uiera de #o% cua#e% podr/ de%encriptar e# mi%mo archi-o" Para indicar m2#tip#e% de%tinatario% %#o tiene% ,ue aadir m/% identi&icadore% en #a #'nea de rdene%3 ta# como %e mue%tra a continuacin Q /g/ $e )"r!"I!%! M(gue0 IAe0(# A0e%" +er J"6&( e De#(ree M()G"e0 A%' %e crea un archi-o ci&rado ##amado carta"t.t"pgp ,ue podr'a de%encriptar por Kichae#3 Na0mine3 etc" http //!!!"codigo#ibre"org HA
Antonio Perpian Puede indicar%e cua#,uier n2mero de de%tinatario%"
2(r&" +e u Me #"5e Para &irmar un archi-o norma# con %u c#a-e %ecreta3 e%criba Q /g/ $# )"r!" U$u !uR(+e !('()"+,rV Nota Lo% ecorchete%f indican un campo opciona#3 no deben e%cribir%e" 4%ta orden produce un archi-o &irmado ##amado carta"t.t"pgp" Un e7emp#o podr'a %er Q /g/ $# )"r!"I!%! $u IAe0(# 4%ta orden bu%ca en %u archi-o de c#a-e% %ecreta% L%ecring"pgpM cua#,uier certi&icado ,ue contenga #a cadena LI-e#i%M en e# identi&icador de u%uario" 1e ##ama I-e#i%3 CnoE La b2%,ueda no toma en cuenta #a% ma+2%cu#a% o min2%cu#a%" 1i %e encuentra una c#a-e %ecreta ,ue coincide3 PGP #a uti#i0a para &irmar e# archi-o p#ano Lcarta"t.tM + produce un archi-o &irmado ##amado Lcarta"t.t"pgpM" 1i no %e inc#u+e e# campo de identi&icador de u%uario3 %e &irma con #a c#a-e m/% reciente de# ani##o de c#a-e% %ecreta% como e#eccin por omi%in" PGP intenta comprimir e# men%a7e de%pu5% de &irmar#o" Por e%o e# archi-o &irmado %er/ probab#emente menor ,ue e# origina#3 #o ,ue puede re%u#tar con-eniente para archi-ar" 1in embargo3 e%te proce%o hace ,ue e# archi-o no %ea #egib#e norma#mente aun,ue e# men%a7e origina# tu-iera %o#o te.to A1CII" 4%tar'a bien de7ar un archi-o ,ue &uera toda-'a #egib#e directamente" 1er'a particu#armente 2ti# para en-iar un men%a7e &irmado por 4> mai#" Para &irmar men%a7e% e#ectrnico% en #o% ,ue ,uiera de7ar e# re%u#tado #egib#e3 e% m/% con-eniente uti#i0ar CL4A81IG3 ,ue %e e.p#ica m/% ade#ante" La &irma% %e ap#ica en un &ormato imprimib#e a# &ina# de# te.to + %e de%acti-a #a compre%in" A%' e# te.to permanece #egib#e aun,ue no %e compruebe #a &irma" )odo e%to %e e.p#ica con deta##e en #a %eccin LCL4A81IG > Acti-ar men%a7e% &irmado% encap%u#ado% como te.to p#anoM en #a %eccin de )ema% 4%pecia#e%" 1i no de%ea e%perar a ##egar a e%ta %eccin3 puede% -er cmo ,ueda un men%a7e e#ectrnico &irmado a%' con e# %iguiente e7emp#o Q /g/ $#!" )"r!"I!%! 1e genera un men%a7e &irmado en e# archi-o Lcarta"t.t"a%cM3 &ormado por e# te.to origina#3 toda-'a #egib#e3 + una &irma A1CII imprimib#e aadida3 todo preparado para en-iar por 4>mai#" 4%te e7emp#o %upone ,ue e%t/% uti#i0ando #a% opcione% norma#e% de acti-acin de CL4A81IG en e# archi-o de con&iguracin" 2(r&" - P,#!er(,r E )r(/!")(* Para &irmar un archi-o norma# con tu c#a-e %ecreta + de%pu5% encriptar#o con #a c#a-e p2b#ica de# de%tinatario Q /g/ $e# )"r!" #uR(+e !('()"+,r U$u #uR(+e !('()"+,rV Nota ecorchete%f campo opciona#3 no deben e%cribir%e" 4%te e7emp#o %e produce un archi-o ci&rado anidado3 ##amado carta"pgp" La c#a-e %ecreta para &irmar %e bu%ca autom/ticamente en e# ani##o corre%pondiente por medio de %ugidenti&icador" 1i no inc#u+e% e# identi&icador de u%uario de# de%tinatario3 %e pedir/ ,ue #o introdu0ca% interacti-amente" 1i no indica% tu propio identi&icador de u%uario3 %e uti#i0a #a c#a-e m/% reciente de# ani##o de c#a-e% %ecreta% como e#eccin por omi%in para #a &irma" Debe tener en cuenta ,ue PGP intentar/ comprimir e# te.to norma# ante% de encriptar#o" 1i ,uiere% en-iar e%te men%a7e ci&rado por medio de cana#e% de 4>mai#3 con-i5rte#o a# &ormato A1CII http //!!!"codigo#ibre"org HB
Antonio Perpian
imprimib#e Lradi.>H@M aadiendo #a opcin >a3 ta# como %e de%cribe m/% ade#ante" Pueden indicar%e m2#tip#e% de%tinatario% aadiendo m/% identi&icadore% en #a #'nea de comando%" U!(0(6")(* +e E )r(/!")(* C, Ae )(, "0 E%)0u#(A"&e !e A#guna% -ece% %#o %e nece%ita encriptar un archi-o a# e%ti#o antiguo3 con criptogra&'a con-enciona# de c#a-e 2nica" 4%te %i%tema re%u#ta con-eniente para proteger a,ue##o% archi-o% ,ue -a+an a guardar%e + no %e -an a en-iar a nadie" Dado ,ue #a mi%ma per%ona ,ue -a a de%encriptar e# archi-o #o ha encriptado3 no %e nece%ita rea#mente criptogra&'a de c#a-e p2b#ica" Para encriptar un archi-o norma# %#o con criptogra&'a con-enciona#3 e%cribe Q /g/ $) )"r!" 4%te e7emp#o encripta e# archi-o norma# ##amado carta + produce un archi-o ci&rado carta"pgp3 %in criptogra&'a de c#a-e p2b#ica3 ani##o% de c#a-e%3 identi&icadore% de u%uario ni nada por e# e%ti#o" Pedir/ una contra%ea como c#a-e con-enciona# para encriptar e# archi-o" 4%ta contra%ea no tiene por ,u5 %er (de hecho3 NO D4:48IA %er* #a mi%ma ,ue uti#i0a% para proteger tu propia c#a-e %ecreta" PGP intentar/ comprimir e# archi-o ante% de encriptar#o" PGP nunca encripta e# mi%mo te.to norma# do% -ece% de #a mi%ma &orma3 inc#u%o con #a mi%ma contra%ea" De#e )r(/!")(* - C,&/r,4")(* +e 2(r&"# Para de%encriptar un archi-o ci&rado o para comprobar #a integridad de un archi-o &irmado Q /g/ )"r!"$)('r"+" U$, )"r!"$ ,r&"0V Por omi%in %e a%ume ,ue e# nombre de# archi-o ci&rado tiene una e.ten%in L"pgpM" 4# nombre opciona# de %a#ida para e# te.to en c#aro indica dnde ha+ ,ue poner e# te.to proce%ado" 1i no %e indica ning2n nombre3 %e uti#i0a e# mi%mo de# archi-o ci&rado %in e.ten%in" 1i %e anida una &irma dentro de un archi-o ci&rado3 %e de%encripta autom/ticamente + %e comprueba %u integridad" 1e mo%trar/ e# identi&icador comp#eto de# &irmante" Nte%e ,ue e# Tde%emba#a7eT de# archi-o ci&rado e% comp#etamente autom/tico3 %in importar %i e%t/ &irmado3 ci&rado o amba% co%a%" PGP uti#i0a e# pre&i7o de# identi&icador de c#a-e en e# archi-o ci&rado para encontrar autom/ticamente #a c#a-e %ecreta en e# ani##o" 1i ha+ una &irma anidada3 PGP u%a e# pre&i7o de identi&icador de e%a c#a-e para encontrar autom/ticamente #a c#a-e p2b#ica en e# ani##o corre%pondiente + comprobar#a" 1i #a% c#a-e% nece%aria% e%t/n en #o% ani##o% de c#a-e% no %e re,uiere m/% inter-encin3 e.cepto para dar #a contra%ea de #a c#a-e %ecreta3 en %u ca%o" 1i e# archi-o hab'a %ido encriptado %in criptogra&'a de c#a-e p2b#ica3 PGP #o reconoce + pide #a contra%ea para de%encriptar#o con-enciona#mente" Ge er")(* +e C0"Ae# RSA Para generar tu propio par 2nico de c#a-e% p2b#ica/%ecreta de un tamao determinado3 e%cribe Q /g/ $Dg PGP te mo%trar/ un men2 de tamao% recomendado% para #a c#a-e (ni-e# comercia# ba7o3 ni-e# comercia# a#to + ni-e# Tmi#itarT* + te pedir/ ,u5 indi,ue% ,u5 tamao de c#a-e ,uiere%3 ha%ta ;G@B bit%" Cuanto m/% grande e% #a c#a-e ma+or e% #a %eguridad ,ue %e obtiene3 pero e# precio e% una di%minucin de #a -e#ocidad" )ambi5n %e pide un identi&icador de u%uario3 e%to e%3 tu nombre" 8e%u#ta con-eniente poner como identi&icador un nombre comp#eto3 por,ue a%' ha+ menor probabi#idad de ,ue otro% e#i7an una c#a-e p2b#ica e,ui-ocada para encriptar #o% men%a7e% dirigido% a ti" 4n e# identi&icador de u%uario %e permiten e%pacio% + %igno% de puntuacin" )ambi5n con-iene poner una direccin de correo>4 entre h /ngu#o%c de%pu5% de# nombre3 como en e%te e7emp#o A !, (, Per/( " W "/er/( " X),+(g,0(4reI,rgY http //!!!"codigo#ibre"org HO
Antonio Perpian
1i no tiene% direccin de correo>43 pon tu n2mero de te#5&ono u otra in&ormacin ,ue a+ude a garanti0ar #a unicidad de tu identi&icador" PGP tambi5n pedir/ una Tcontra%eaT para proteger tu c#a-e %ecreta en ca%o de ,ue caiga en otra% mano%" Nadie podr/ uti#i0ar tu c#a-e %ecreta %in e##a" La contra%ea puede %er una e.pre%in o &ra%e con -aria% pa#abra%3 e%pacio%3 %igno% de puntuacin o cua#,uier co%a ,ue ,uiera% poner" No #a pierda%3 por,ue no ha+ &orma de recuperar#a" La contra%ea te har/ &a#ta m/% ade#ante3 cada -e0 ,ue uti#ice% tu c#a-e %ecreta" 1e tiene en cuenta e# tipo de #etra (ma+2%cu#a o min2%cu#a* + no debe %er dema%iado corta ni &/ci# de adi-inar" Nunca aparece en #a panta##a" No #a de7e% e%crita donde a#guien pueda -er#a3 ni #a guarde% en e# computador" 1i no ,uiere% poner contra%ea (ino %ea% tontoj*3 %imp#emente pu#%a retorno (4nter* en e# indicador corre%pondiente" 4# par de c#a-e% p2b#ica/%ecreta %e deri-a de grande% n2mero% -erdaderamente a#eatorio% obtenido% a# medir inter-a#o% de tiempo entre pu#%acione% de tec#a con un tempori0ador r/pido" 4# programa te pedir/ ,ue introdu0ca% un te.to a# a0ar para poder acumu#ar a#guno% bit% a#eatorio% para #a% c#a-e%" Cuando %e te pida3 debe% pu#%ar a#guna% tec#a% ra0onab#emente a# a0arI no -endr'a ma# ,ue tambi5n e# contenido &uera irregu#ar" Parte de #a a#eatoriedad %e deri-a de #a impredictibi#idad de# contenido de #o ,ue e%cribe%" Por #o tanto3 no e%criba% %ecuencia% repetida% de caractere%" )en en cuenta ,ue #a generacin de c#a-e% 81A e% un proce%o #argo" Puede ##e-ar uno% %egundo% para una c#a-e pe,uea en un proce%ador r/pido o -ario% minuto% para una c#a-e #arga en un -ie7o I:K PC/X)" PGP indica -i%ua#mente e# de%arro##o de #a generacin de c#a-e%" 4# par de c#a-e% generado %e co#ocar/ en tu% ani##o% de c#a-e% p2b#ica% + %ecreta%" Puede% uti#i0ar m/% ade#ante #a orden >6. para e.traer (copiar* tu nue-a c#a-e p2b#ica de%de e# ani##o corre%pondiente + poner#a en un archi-o de c#a-e %eparado3 #i%to para di%tribuir entre tu% amigo%" Podr/% en-iar e%te archi-o para ,ue #o inc#u+an en %u% ani##o% de c#a-e% p2b#ica%" Natura#mente3 #a c#a-e %ecreta e% para ti + debe inc#uir%e en e# archi-o de c#a-e% %ecreta%" Cada c#a-e %ecreta e%t/ protegida indi-idua#mente por %u propia contra%ea" Nunca de% a nadie tu c#a-e %ecreta" Por #a mi%ma ra0n3 no haga% pare% de c#a-e% para tu% amigo%" Cada uno debe hacer e# %u+o" Kant5n %iempre contro# &'%ico %obre tu c#a-e %ecreta + no te arrie%gue% a e.poner#a guard/ndo#a en un computador remoto compartido" Con%5r-e#a en %u propio computador per%ona#" 1i PGP %e ,ue7a de no poder encontrar #a Gu'a de u%uario en e# computador + %e niega a generar un par de c#a-e% %in 5#3 no te preocupe%" Lee #a e.p#icacin de# par/metro NOKANUAL en #a %eccin T4%tab#ecimiento de #o% par/metro% de con&iguracinT en e# -o#umen )ema% e%pecia#e% de #a Gu'a de# u%uario" A+()(* +e u " C0"Ae "0 A (00, A -ece% ,uerr/% aadir a tu ani##o #a c#a-e ,ue te ha dado a#guien en &orma de archi-o de c#a-e%" Para aadir e# contenido de un archi-o de c#a-e% p2b#ica% o %ecreta% a# ani##o de c#a-e% corre%pondiente (nte%e ,ue #o% ecorchete%f indican un campo opciona#* Q /g/ $D" '+)0"Ae# U" (00,V La e.ten%in por omi%in de# archi-o e% T"pgpT" 4# nombre opciona# de# ani##o e%3 por omi%in3 Tpubring"pgpT o T%ecring"pgpT3 %eg2n %e re&iera a c#a-e% p2b#ica% o %ecreta%" Puede% indicar un nombre di&erente para e# archi-o + tambi5n %u e.ten%in por omi%in %er/ T"pgpT" 1i #a c#a-e +a e%t/ en e# ani##o3 PGP no #a aade otra -e0" 1e inc#u+en toda% #a% c#a-e% de# archi-o e.cepto #a% dup#icada%" K/% ade#ante %e e.p#ica e# concepto de certi&icacin de c#a-e% por medio de &irma%" 1i #a c#a-e para aadir http //!!!"codigo#ibre"org AG
Antonio Perpian
inc#u+e &irma%3 %e incorporan 7unto con e##a" 1i +a %e encontraba en e# ani##o3 PGP %o#amente aadir/ #a% &irma% ,ue no e%tu-ie%en" PGP %e di%eo origina#mente para traba7ar con ani##o% per%ona#e% pe,ueo%" 1i ,uiere% uti#i0ar grande% ani##o%3 con%u#ta #a %eccin LGe%tin de grande% ani##o% de c#a-e% p2b#ica%M en e# -o#umen %obre )ema% e%pecia#e%" Su/re#(* +e u " C0"Ae +e0 A (00, Para %uprimir una c#a-e de# ani##o de c#a-e% p2b#ica% Q /g/ $Dr (+e !('()"+,r U" (00,V 4%te proce%o bu%ca en e# ani##o e# identi&icador indicado + #o %uprime %i encuentra una coincidencia" 8ecuerda ,ue cua#,uier &ragmento de# identi&icador e% %u&iciente para ,ue ha+a una coincidencia" 1e a%ume ,ue Lpubring"pgpM e% #itera#mente e# nombre opciona# de# archi-o" Puede% omitir#o o indicar L%ecring"pgpM %i ,uiere% %uprimir una c#a-e %ecreta" Puede% dar tambi5n un nombre di%tinto para e# ani##o de c#a-e%" La e.ten%in por omi%in e% L"pgpM" 1i ha+ m/% de un identi&icador de u%uario para e%a c#a-e3 %e preguntar/ %i %#o ,uiere% e#iminar e# identi&icador indicado3 de7ando #a c#a-e + #o% otro% identi&icadore% intacto%" Para e.traer (copiar* una c#a-e de# ani##o de c#a-e% p2b#ica% o %ecreta% Q /g/ $D% (+e !('()"+,r '+)0"Ae# U" (00,V 4%te proce%o copia (%in borrar* #a c#a-e e%peci&icada por e# identi&icador de%de e# ani##o a# archi-o indicado" 8e%u#ta e%pecia#mente 2ti# para dar una copia de tu c#a-e p2b#ica a a#guien" 1i #a c#a-e tiene a#guna &irma de certi&icacin3 tambi5n %e copia con #a c#a-e" 1i ,uiere% ,ue #a c#a-e e.tra'da %e repre%ente en caractere% A1CII imprimib#e%3 para correo>43 pon #a% opcione% >6.a" V(#u"0(6")(* +e0 C, !e (+, +e0 A (00, Para -er e# contenido de# ani##o de c#a-e% p2b#ica% Q /g/ $DAUAV U(+e !('()"+,rV U" (00,V Kue%tra #a #i%ta de #a% c#a-e% de# ani##o ,ue coinciden con #a %ubcadena e%peci&icada como identi&icador" 1i omite% e# identi&icador3 %e mo%trar/n toda% #a% c#a-e%" 1e a%ume ,ue Lpubring"pgpM e% e# nombre opciona# de ani##o" Puede% omitir#o o indicar L%ecring"pgpM %i ,uiere% -er #a #i%ta de c#a-e% %ecreta%" )ambi5n puede% %i #o de%ea% e%peci&icar otro nombre di%tinto para e# ani##o de c#a-e%" La e.ten%in por omi%in e% L"pgpM" K/% ade#ante %e e.p#ica e# concepto de certi&icar c#a-e% con &irma%" Para -er #a% &irma% de certi&icacin de cada c#a-e3 uti#i0a #a opcin >6-Q /g/ $DAA U(+e !('()"+,rV U" (00,V 1i ,uiere% e%peci&icar un nombre de ani##o3 para -er toda% #a% c#a-e% ,ue contiene3 prueba e%ta &orma a#ternati-a Q /g/ '+)0"Ae# 1in indicar ninguna opcin3 PGP mue%tra #a #i%ta de toda% #a% c#a-e% en &dc#a-e%"pgp e intenta aadir#a% a# ani##o de c#a-e% %i no e%tu-ie%en" :C,&, Pr,!eger 0"# C0"Ae# Pu40()"# ), !r" M" (/u0")(* 1 4n un %i%tema de c#a-e p2b#ica no ha+ ,ue proteger #a% c#a-e% p2b#ica% contra e.po%icin" De hecho3 e% me7or ,ue e%t5n amp#iamente di&undida%" 1in embargo3 e% importante proteger#a% contra manipu#acin para http //!!!"codigo#ibre"org A$
Antonio Perpian
a%egurar ,ue una c#a-e pertenece rea#mente a ,uien parece pertenecer" 4%te ,ui0/ %ea e# punto m/% -u#nerab#e de un cripto%i%tema de c#a-e p2b#ica" =eamo% primero un po%ib#e de%a%tre + a continuacin #a manera de e-itar#o con PGP" 1upongamo% ,ue ,uiere% en-iar a Antonio un men%a7e pri-ado" 8ecibe% #a c#a-e p2b#ica de Antonio de%de una co#ocacin p2b#ica en e# porta# de #a Fundacin" 4ncripta #a carta para Antonio con e%a c#a-e + %e #a en-'a por medio de# 4>mai# de #a Fundacin" De%a&ortunadamente3 %in %aber#o Antonio ni u%ted3 otro u%uario ##amado No%5 Parede% %e ha in&i#trado en #a #i%ta de #a Fundacin + ha generado una c#a-e p2b#ica propia ,ue ##e-a e# identi&icador de u%uario de Antonio" Pone %ecretamente e%a c#a-e &a#%a en #ugar de #a -erdadera" U%ted3 %in %aber#o3 uti#i0a% e%a c#a-e en #ugar de #a aut5ntica" )odo parece norma# por,ue #a c#a-e &a#%a tiene e# identi&icador de u%uario de Antonio" Ahora No%5 Parede% puede de%ci&rar e# men%a7e dirigido a Antonio3 +a ,ue tiene #a c#a-e %ecreta corre%pondiente" Puede inc#u%o -o#-er a encriptar e# men%a7e con #a -erdadera c#a-e p2b#ica de Antonio + en-i/r%e#o a e##a para ,ue nadie %o%peche nada" A2n peor3 puede inc#u%o hacer &irma% en nombre de Antonio con e%a c#a-e %ecreta3 por,ue todo e# mundo uti#i0a #a c#a-e p2b#ica &a#%a para comprobar #a% &irma% de Antonio" La 2nica &orma de e-itar e%te de%a%tre e% impedir ,ue a#guien pueda manipu#ar #a% c#a-e% p2b#ica%" 1i ha% obtenido #a c#a-e p2b#ica de Antonio3 no ha+ prob#ema" 1in embargo3 e%to puede re%u#tar di&'ci# %i #a per%ona %e encuentra a mi# 6i#metro%3 o no e% #oca#i0ab#e en e%e momento" Podr'a% con%eguir #a c#a-e p2b#ica de Antonio de un amigo en e# ,ue con&'en #o% do%3 digamo% 4#-+n :o#ge%3 ,ue %abe ,ue %u copia de #a c#a-e p2b#ica de Antonio e% buena" 4#-+n podr'a &irmar #a c#a-e p2b#ica de Antonio3 re%pondiendo de #a integridad de #a c#a-e" 4#-+n rea#i0ar'a e%ta &irma con %u propia c#a-e %ecreta" A%' %e crear'a un certi&icado &irmado de c#a-e p2b#ica ,ue demo%trar'a ,ue #a c#a-e de Antonio no ha %ido manipu#ada" 4%te mecani%mo re,uiere ,ue %u copia de #a c#a-e p2b#ica de 4#-+n %i %ea buena3 para poder comprobar #a &irma" 4#-+n podr'a tambi5n proporcionar a Antonio una copia &irmada de %u c#a-e p2b#ica" Por tanto3 4#-+n hace de re&erencia entre Antonio + u%ted" 4#-+n o Antonio podr'an en-iar a #a #i%ta de correo de #a Fundacin e%e certi&icado &irmado de c#a-e p2b#ica de parte de Antonio + u%ted podr'a% recibir#o m/% ade#ante" 4ntonce% podr'a% comprobar #a &irma con #a c#a-e p2b#ica de 4#-+n + a%egurar%e de ,ue e% #a -erdadera c#a-e de Antonio" Ning2n impo%tor podr'a hacer ,ue acepta%e% una c#a-e &a#%a como %i &uera de Antonio3 por,ue nadie puede &a#%i&icar #a &irma de 4#-+n" Una per%ona de amp#ia con&ian0a podr'a inc#u%o e%pecia#i0ar%e en o&recer e%te %er-icio de Lre&erenciaM entre u%uario%3 proporcionando &irma% para e%o% certi&icado% de c#a-e p2b#ica" 4%ta per%ona de con&ian0a podr'a con%iderar%e un L%er-idor de c#a-e%M o Lautoridad de certi&icacinM" Podr'a con&iar%e en ,ue cua#,uier certi&icado de c#a-e p2b#ica con #a &irma de# %er-idor pertenecer'a -erdaderamente a ,uien parec'a pertenecer" Lo% u%uario% ,ue ,ui%ieran participar %#o nece%itar'an una copia buena de #a c#a-e p2b#ica de# organi0ador para poder -eri&icar %u% &irma%" Un %er-idor centra#i0ado de c#a-e% o autoridad de certi&icacin e%t/ e%pecia#mente indicado en grande% in%titucione% gubernati-a% o empre%aria#e% con contro# centra#i0ado" A#guno% entorno% in%tituciona#e% +a uti#i0an 7erar,u'a% de autoridade% de certi&icacin" Para entorno% de ba%e de%centra#i0ado%3 e%ti#o Lguerri##aM3 permitir a cua#,uier u%uario actuar como re&erencia de con&ian0a de %u% amigo% probab#emente &uncionar/ me7or ,ue un %er-idor centra#i0ado" PGP tiende a en&ati0ar e%te en&o,ue org/nico de%centra#i0ado no in%tituciona#" 8e&#e7a me7or #a &orma natura# ,ue http //!!!"codigo#ibre"org A;
Antonio Perpian
tienen #o% humano% de interactuar per%ona#mente a ni-e# %ocia# + permite e#egir me7or en ,ui5n con&iar para #a ge%tin de c#a-e%" 4%te tema de proteger #a% c#a-e% p2b#ica% contra manipu#acin e% e# prob#ema indi-idua# m/% di&'ci# con ,ue %e encuentra #a ap#icacin pr/ctica de #a c#a-e p2b#ica" 4% e# Lta#n de A,ui#e%M de #a criptogra&'a de c#a-e p2b#icaI %o#amente en re%o#-er e%te prob#ema ha+ in-ertida una gran comp#e7idad de programacin" 1#o deber'a% uti#i0ar una c#a-e p2b#ica de%pu5% de comprobar ,ue e% una c#a-e aut5ntica no manipu#ada + ,ue pertenece a #a per%ona a #a ,ue dice pertenecer" Puede% e%tar %eguro de e##o %i obtiene% e# certi&icado de c#a-e p2b#ica directamente de %u propietario3 o %i ##e-a #a &irma de a#guien en ,uien con&'a% + de# ,ue +a tiene% una c#a-e p2b#ica aut5ntica" Por otra parte3 e# identi&icador de u%uario deber'a ##e-ar e# nombre comp#eto de# propietario3 no %#o %u nombre de pi#a" Por mucho ,ue tenga% #a tentacin>> + #a tendr/>>3 nunca3 NUNCA ceda a #a comodidad + te &'e% de una c#a-e p2b#ica ,ue ha+a% recibido de%de un porta# o &uente pub#ica como %a#a% de chat3 rede% %ocia#e%3 etc3 a meno% ,ue -a+a &irmada por a#guien en ,uien con&'a%" 4%a c#a-e p2b#ica %in certi&icar puede haber %ido manipu#ada por cua#,uiera3 ,ui0/ inc#u%o e# mi%mo admini%trador de #a &uente" 1i te piden ,ue &irme% e# certi&icado de #a c#a-e p2b#ica de a#guien3 comprueba ,ue rea#mente pertenece a #a per%ona indicada en e# identi&icador de u%uario" )u &irma en e%e certi&icado de c#a-e p2b#ica e% tu prome%a de ,ue #a c#a-e pertenece rea#mente a e%a per%ona" La gente ,ue con&'a en ti aceptar/ e%a c#a-e p2b#ica por,ue ##e-a %u &irma" No e% recomendab#e hacer#o de cora0onada>> no &irme% #a c#a-e a meno% ,ue tenga% conocimiento independiente + de primera mano de ,ue rea#mente pertenece a e%a per%ona" Pre&erib#emente3 deber'a &irmar#a %#o %i #a ha% recibido directamente de #a per%ona" Debe% e%tar mucho m/% %eguro %obre ,ui5n e% e# propietario de una c#a-e p2b#ica para &irmar#a ,ue para encriptar un men%a7e" Para e%tar %u&icientemente con-encido de #a -a#ide0 de una &irma como para uti#i0ar#a3 deber'an ba%tar #a% &irma% de certi&icacin de #a% re&erencia% de con&ian0a" 4n cambio3 para &irmar una c#a-e u%ted mi%mo debe tener conocimiento independiente + de primera mano de ,ui5n e% e# propietario de e%a c#a-e" Podr'a% ##amar#e por te#5&ono + #eer#e e# archi-o de c#a-e%3 para ,ue con&irme ,ue e% -erdaderamente #a %u+a>> comprueba ,ue e%t/% hab#ando con #a per%ona indicada" Con%u#ta #a %eccin ##amada L=eri&icacin de una c#a-e p2b#ica por te#5&onoM en e# -o#umen de )ema% e%pecia#e% para obtener m/% in&ormacin" )en en cuenta ,ue #a &irma en un certi&icado de c#a-e p2b#ica no re%ponde de #a integridad de e%a per%ona3 %o#amente de #a integridad (#a pertenencia* de #a c#a-e p2b#ica de e%a per%ona" No arrie%ga% tu propia credibi#idad a# &irmar #a c#a-e p2b#ica de un %ocipata3 %iempre ,ue e%t5% comp#etamente %eguro de ,ue #a c#a-e #e pertenece" Otra% per%ona% aceptar/n ,ue #e pertenece por,ue u%ted #a ha &irmado (a%umiendo ,ue con&'en en u%ted*3 pero no %e &iar/n de# propietario de e%a c#a-e" Con&iar en una c#a-e no e% #o mi%mo ,ue con&iar en %u propietario" La con&ian0a no e% nece%ariamente tran%&erib#eI tengo un amigo de# ,ue %5 ,ue no miente" 4% un cr5du#o ,ue cree ,ue e# pre%idente no miente" 4%o no ,uiere decir ,ue +o crea ,ue e# pre%idente no miente" 4% %#o cue%tin de %entido com2n" 1i me &'o de #a &irma de Antonio en una c#a-e3 + Antonio %e &'a de #a &irma de No%5 Parede%3 e%o no imp#ica ,ue +o me tenga ,ue &iar de #a &irma de No%5 Parede%" 8e%u#ta con-eniente mantener %u propia c#a-e p2b#ica a mano con una co#eccin de &irma% de certi&icacin de di-er%a% Lre&erencia%M3 para ,ue #a ma+or'a de #a gente con&'e a# meno% en una de #a% ,ue re%ponden de #a -a#ide0 de %u c#a-e" Puede% en-iar #a c#a-e con %u co#eccin de &irma% de certi&icacin a -aria% &uente% pub#ica%" http //!!!"codigo#ibre"org A?
Antonio Perpian
1i &irma #a c#a-e p2b#ica de a#guien3 de-u5#-a#a con #a &irma para ,ue pueda aadir#a a %u co#eccin de credencia#e%" PGP contro#a ,u5 c#a-e% de# ani##o de c#a-e% p2b#ica% han %ido certi&icada% adecuadamente con &irma% de re&erencia% en #a% ,ue con&'a%" )odo #o ,ue tiene% ,ue hacer e% decir a PGP en ,u5 per%ona% con&'a% como re&erencia + certi&icar e%a% c#a-e% con #a %u+a propia3 ,ue e% &undamenta#mente &iab#e" PGP puede continuar de%de ah'3 -a#idando cua#,uier c#a-e &irmada por e%a% re&erencia% de%ignada%" Aparte3 por %upue%to3 pueda &irmar m/% c#a-e% u%ted mi%mo" 1eguiremo% con e%to m/% ade#ante" A%eg2re%e de ,ue nadie pueda manipu#ar %u ani##o de c#a-e% p2b#ica%" La comprobacin de cua#,uier nue-a &irma de c#a-e p2b#ica depende en 2#tima in%tancia de #a integridad de #a% c#a-e% de con&ian0a ,ue +a %e encuentran en e# ani##o de c#a-e%" Kant5n contro# &'%ico %obre e# ani##o de c#a-e% p2b#ica%3 pre&erib#emente en tu propio computador per%ona# en #ugar de un %i%tema remoto mu#tiu%uario3 ta# como #o har'a con %u c#a-e %ecreta" 4# ob7eti-o e% proteger#o contra manipu#acin3 no contra e.po%icin" Con%er-e una copia de %eguridad &iab#e de #o% ani##o% de c#a-e% p2b#ica% + %ecreta% en un medio protegido contra e%critura" Como %u propia c#a-e e% #a m/.ima autoridad para certi&icar directa o indirectamente #a% c#a-e% de %u ani##o3 e% #a ,ue m/% tiene% ,ue proteger contra manipu#acin" Para detectar cua#,uier manipu#acin de %u propia c#a-e p2b#ica3 &undamenta#mente &iab#e3 PGP puede con&igurar%e para ,ue #a compare autom/ticamente con una copia de %eguridad en un medio protegido contra e%critura" Para obtener m/% in&ormacin3 con%u#ta #a de%cripcin de #a orden L>6cM de comprobacin de ani##o% en e# -o#umen %obre )ema% e%pecia#e%" PGP genera#mente a%ume ,ue -a% a mantener %eguridad &'%ica %obre e# %i%tema3 #o% ani##o% de c#a-e% + #a copia mi%ma de PGP" 1i un intru%o pudie%e manipu#ar %u di%co3 podr'a en teor'a manipu#ar e# mi%mo PGP de7ando en entredicho cua#,uier %i%tema de %eguridad ,ue pueda tener para detectar #a manipu#acin de c#a-e%" Una &orma a#go comp#icada de proteger e# ani##o comp#eto de c#a-e% p2b#ica% contra manipu#acin e% &irmar#o con %u propia c#a-e %ecreta" Puede hacer#o e#aborando un certi&icado %eparado de &irma para e# archi-o con #a% opcione% L>%bM (con%u#ta #a %eccin L1eparacin de &irma% de #o% men%a7e%M en #a Gu'a de# u%uario de PGP3 -o#umen de )ema% e%pecia#e%*" De%a&ortunadamente3 %igue %iendo nece%ario mantener una copia aparte de %u propia c#a-e p2b#ica3 para comprobar #a &irma ,ue ha rea#i0ado" No puede &iar%e de #a c#a-e a#macenada en e# ani##o de c#a-e% p2b#ica%3 +a ,ue e% preci%amente parte de #o ,ue intenta% comprobar" :C*&, C, !r,0" PGP 0" V"0(+e6 +e 0"# C0"Ae#1 PGP ##e-a e# contro# de #a% c#a-e% de# ani##o de c#a-e% p2b#ica% ,ue han %ido certi&icada% adecuadamente con &irma% de re&erencia% de con&ian0a" )odo #o ,ue tiene% ,ue hacer u%ted e% decir a PGP en ,u5 per%ona% con&'a% como re&erencia3 + certi&icar e%a% c#a-e% con #a tu+a propia3 ,ue e% &undamenta#mente &iab#e" PGP puede continuar de%de ah'3 -a#idando cua#,uier otra c#a-e &irmada por e%a% re&erencia% e#egida%" Por %upue%to3 u%ted mi%mo puede% &irmar m/% c#a-e%" 9a+ do% criterio% comp#etamente di%tinto% por #o% ,ue PGP 7u0ga #a uti#idad de una c#a-e p2b#ica>> no #o% con&unda% $" CPertenece #a c#a-e rea#mente a ,uien parece pertenecerE 4n otra% pa#abra%3 Cha %ido certi&icada con una &irma de con&ian0aE ;" CPertenece a a#guien en ,uien podemo% con&iar para certi&icar otra% c#a-e%E PGP puede ca#cu#ar #a re%pue%ta a #a primera pregunta" Para re%ponder a #a %egunda3 u%ted3 e# u%uario3 debe in&ormar a PGP e.p#'citamente" Cuando %e da #a re%pue%ta a #a pregunta ;3 PGP puede ca#cu#ar #a re%pue%ta a #a pregunta $ para otra% c#a-e% ,ue ha+an %ido &irmada% por e%a re&erencia de%ignada como &iab#e" http //!!!"codigo#ibre"org A@
Antonio Perpian
La% c#a-e% ,ue han %ido certi&icada% por una re&erencia de con&ian0a +a %e con%ideran -/#ida% en PGP" La% c#a-e% de e%a% re&erencia% deben e%tar certi&icada% por u%ted u otra re&erencia de con&ian0a" PGP tambi5n permite tener di%tinto% m/rgene% de con&ian0a para #a% per%ona% ,ue -an a actuar como re&erencia" La con&ian0a en e# propietario de una c#a-e para %er-ir de re&erencia no re&#e7a %imp#emente #a e%timacin de %u integridad per%ona#>> tambi5n deber'a re&#e7ar cu/# cree ,ue e% %u ni-e# de conocimiento re%pecto a #a ge%tin de c#a-e%3 + de %u buen 7uicio en #a &irma de e%ta%" Puede de%ignar una per%ona en PGP como de%conocida3 no &iab#e3 de re#ati-a con&ian0a3 o de comp#eta con&ian0a para certi&icar otra% c#a-e% p2b#ica%" 4%ta in&ormacin %e a#macena en e# ani##o 7unto con #a c#a-e de e%a per%ona3 pero no %e inc#u+e con e##a3 a# indica a PGP ,ue copie una c#a-e3 +a ,ue e%a% opinione% pri-ada% %obre con&ian0a %e con%ideran con&idencia#e%" Cuando PGP e%t/ ca#cu#ando #a -a#ide0 de una c#a-e p2b#ica3 e.amina e# ni-e# de con&ian0a de toda% #a% &irma% inc#uida%" 4#abora una puntuacin proporciona# de -a#ide0>> do% &irma% re#ati-amente &iab#e% %e con%ideran tan cre'b#e% como una comp#etamente &iab#e" 4# e%ceptici%mo de PGP e% a7u%tab#e>> por e7emp#o3 puede e%tab#ecer%e ,ue hagan &a#ta do% &irma% comp#etamente &iab#e%3 o tre% re#ati-amente &iab#e%3 para dar una c#a-e por -/#ida" 1u propia c#a-e e% La.iom/ticamenteM -/#ida para PGP + no nece%ita ninguna &irma de re&erencia para probar %u -a#ide0" PGP %abe ,u5 c#a-e% p2b#ica% %on tu+a% bu%cando #a% c#a-e% %ecreta% corre%pondiente% en e# otro ani##o" PGP tambi5n a%ume ,ue con&'a% comp#etamente en ti mi%mo para certi&icar otra% c#a-e%" 1eg2n pa%e e# tiempo3 ir/% acumu#ando c#a-e% de otra% per%ona%3 a #a% ,ue podr/% de%ignar como re&erencia% de con&ian0a" Cada uno ir/ e#igiendo %u% propia% re&erencia%" d cada uno ir/ gradua#mente acumu#ando + di%tribu+endo con %u c#a-e una co#eccin de &irma% de certi&icacin3 con #a e%peran0a de ,ue cua#,uiera ,ue #a reciba con&'e a# meno% en una o do% de e##a%" 1e producir/ de e%a &orma #a aparicin de una red de%centra#i0ada de con&ian0a para #a% c#a-e% p2b#ica%3 re%i%tente a &a##o%" 4%te en&o,ue de ba%e3 2nico3 contra%ta c#aramente con #o% e%,uema% habitua#e% de# Gobierno para ge%tionar c#a-e% p2b#ica%3 como e# Internet Pri-ac+ 4nhanced Kai# (P4K* _Correo de Internet Ke7orada %u Pri-acidad`3 ,ue %e &undamentan en un contro# centra#i0ado + una con&ian0a centra#i0ada + ob#igatoria" Lo% e%,uema% habitua#e% con&'an en una 7erar,u'a de Autoridade% de certi&icacin ,ue dictan en ,ui5n debe u%ted con&iar" 4# m5todo probabi#'%tico + de%centra#i0ado de PGP para determinar #a #egitimidad de #a% c#a-e% p2b#ica% e% #a piedra angu#ar de %u ar,uitectura de ge%tin de c#a-e%" PGP #e permite ,ue e#i7a u%ted mi%mo en ,ui5n con&iar3 + #e pone en e# -5rtice de %u propia pir/mide per%ona# de certi&icacin" PGP e% para per%ona% ,ue pre&ieren preparar %u% propio% paraca'da%" :C,&, Pr,!eger 0"# C0"Ae# Se)re!"# ), !r" #er ReAe0"+"#1 Prote7a con mucho cuidado %u propia c#a-e + %u contra%ea" 1i %u c#a-e %ecreta %e -e a#guna -e0 comprometida3 e% me7or ,ue corra #a -o0 r/pidamente + %e #o diga a toda% #a% parte% intere%ada% (no %iempre e% una tarea &/ci#"""* ante% de ,ue a#guien #a uti#ice para hacer &irma% en %u nombre" Por e7emp#o de una co%a ,ue e%e a#guien puede hacer e% ,ue podr'a &irmar certi&icado% &a#%o% de c#a-e p2b#ica3 #o ,ue podr'a cau%ar prob#ema% a mucha% per%ona%3 e%pecia#mente %i %u &irma tiene amp#io reconocimiento + &5 p2b#ica" Por %upue%to3 e# compromi%o de %u propia c#a-e %ecreta podr'a poner a# de%cubierto todo% #o% men%a7e% dirigido% a u%ted" Para proteger %u c#a-e %ecreta3 puede empe0ar por mantener %iempre contro# &'%ico %obre e##a" 4% %u&iciente con tener#a en e# computador per%ona# en ca%a3 o en un port/ti# ,ue pueda ##e-ar con%igo" 1i tiene% ,ue uti#i0ar http //!!!"codigo#ibre"org AJ
Antonio Perpian
un computador de #a o&icina3 ,ue no %iempre contro#a% &'%icamente3 ##e-a %u% ani##o% de c#a-e% p2b#ica% + %ecreta% en un di%co e.tra'b#e3 + nunca #o de7e &uera de %u contro#" No e% con-eniente permitir ,ue #a c#a-e %ecreta %e encuentre en un computador remoto compartido por otro% u%uario%3 como por e7emp#o un %i%tema mu+ %eguro e7ecutando UNiX pero con acce%o te#e&nico a mucho% u%uario% ,ue u%ted no admini%tra" A#guien podr'a conectar%e a tra-5% de #a #'nea de# mdem + con%eguir #a contra%ea de cua#,uier u%uario3 + m/% ade#ante con%eguir #a c#a-e %ecreta de# 8OO) de# %i%tema" Por e%to e% ,ue %#o deber'a uti#i0ar #a c#a-e %ecreta en una m/,uina %obre #a ,ue u%ted tiene contro# &'%ico" No guarde% %u contra%ea en e# mi%mo computador ,ue tiene e# ani##o de c#a-e% %ecreta%" Guardar #a c#a-e %ecreta + #a contra%ea en e# mi%mo computador e% tan pe#igro%o como guardar tu n2mero %ecreto en #a mi%ma cartera ,ue #a tar7eta de# ca7ero autom/tico" No ,uiere% ,ue nadie ponga %u% mano% en e# di%co ,ue contiene #a contra%ea + e# ani##o de c#a-e% %ecreta%" 1er'a m/% %eguro ,ue memori0a%e% #a contra%ea + ,ue no #a guarda%e% en ning2n %itio m/% ,ue en tu cerebro" 1i cree% ,ue debe% e%cribir#a3 prot57a#a3 ,ui0/ inc#u%o me7or ,ue e# ani##o de c#a-e% %ecreta%" Con%er-a copia% de %eguridad de# ani##o de c#a-e% %ecreta%>> recuerda3 t2 tiene% #a 2nica copia de tu c#a-e %ecreta + perder#a inuti#i0ar'a toda% #a% copia% de tu c#a-e p2b#ica ,ue ha+a por e# mundo" 4# en&o,ue de%centra#i0ado + no in%tituciona# ,ue uti#i0a PGP para ge%tionar #a% c#a-e% p2b#ica% tiene %u% -enta7a% pero3 de%a&ortunadamente3 tambi5n imp#ica ,ue no %e pueda con&iar en una #i%ta 2nica de #a% c#a-e% comprometida%" Por #o tanto3 re%u#ta m/% di&'ci# contro#ar e# dao ,ue puede cau%ar e# compromi%o de una c#a-e" 1#o puede% di-u#gar #a noticia + con&iar en ,ue todo e# mundo %e entere" 1i ocurre #o peor3 + %e entera ,ue tanto %u c#a-e %ecreta como #a %u contra%ea e%t/n comprometida% 3 tendr/ ,ue emitir un certi&icado de Lcompromi%o de c#a-eM" 4%te tipo de certi&icado %e uti#i0a para ad-ertir a #o% dem/% de ,ue de7en de uti#i0ar %u c#a-e p2b#ica" Puede hacer ,ue PGP e#abore e%e certi&icado mediante #a orden L>6dM" De%pu5% tiene ,ue en-iar#o a# re%to de #o% habitante% de# p#aneta3 o a# meno% a todo% %u% amigo%3 a #o% amigo% de %u% amigo%3 etc5tera" 1u% propio% programa% PGP in%ta#ar/n e%e certi&icado de compromi%o en %u% ani##o% de c#a-e% p2b#ica% + e-itar/ ,ue uti#icen #a c#a-e por error" Puede% entonce% generar un nue-o par de c#a-e% %ecreta/p2b#ica + di%tribuir #a nue-a c#a-e p2b#ica" Puede% en-iar en un %o#o #ote #a nue-a c#a-e con e# certi&icado de compromi%o de #a antigua" ReA,)")(* +e u " C0"Ae /=40()" 1upongamo% ,ue3 por a#g2n moti-o3 tanto %u c#a-e %ecreta como %u contra%ea %e -en comprometida%" )endr/ ,ue dec'r%e#o a# re%to de# mundo para ,ue de7en de uti#i0ar %u c#a-e p2b#ica" Para e##o3 tiene% ,ue emitir un certi&icado de Lcompromi%o de c#a-eM + re-ocar #a c#a-e p2b#ica" Para generar e%e certi&icado3 uti#i0a #a orden con #a opcin L>6dM Q /g/ $D+ #uR(+e !('()"+,r 4%te certi&icado ##e-a %u &irma3 rea#i0ada con #a mi%ma c#a-e ,ue e%t/% re-ocando" Deber'a% di%tribuir#o amp#iamente cuanto ante%" La% per%ona% ,ue #o reciban podr/n aadir#o a %u% ani##o% de c#a-e% p2b#ica% + %u% programa% PGP e-itar/n autom/ticamente ,ue -ue#-an a uti#i0ar #a c#a-e antigua por error" Puede generar un nue-o par de c#a-e% %ecreta/p2b#ica3 + pub#icar #a nue-a c#a-e p2b#ica" 1i por a#g2n otro moti-o cua# %ea de%ea re-ocar %u c#a-e %e emp#ea e# mi%mo mecani%mo3 no %o#o por c#a-e% comprometida%" :Bu; /"#" #( P(er+e# 0" C0"Ae Se)re!"1 Norma#mente3 %i ,uiere re-ocar #a c#a-e %ecreta puede% uti#i0ar #a orden L>6dM para emitir un certi&icado de re-ocacin3 &irmado con %u propia C#a-e 1ecreta (-5a%e tema anterior T8e-ocacin de una C#a-e P2b#icaT*"
AH
Antonio Perpian
Pero C,u5 puede hacer %i pierde #a c#a-e o %i %e de%tru+eE No puede re-ocar#a u%ted mi%mo por,ue deber/ uti#i0ar #a c#a-e %ecreta para hacer#o3 + +a no #a tiene" 4n -er%ione% anteriore% de PGP no pod'a hacer nada ,ue correr #a -o0 por #o% medio% in&orma#e% ,ue pueda3 pidiendo a #o% u%uario% ,ue Tde%acti-enT #a c#a-e p2b#ica en %u% ani##o%3 ahora %e o&rece una &orma m/% %egura de re-ocar c#a-e ba7o e%a% circun%tancia%3 permitiendo ,ue re&erencia% de con&ian0a certi&i,uen ,ue una c#a-e p2b#ica ha %ido re-ocada" Otro% u%uario% pueden de%acti-ar #a c#a-e p2b#ica en %u% propio% ani##o% con #a orden L>6dM" 1i %e indica un identi&icador ,ue no corre%ponde a una c#a-e %ecreta de# ani##o corre%pondiente3 #a orden >6d #o bu%ca en e# ani##o de c#a-e% p2b#ica% + marca e%a c#a-e como de%acti-ada" Una c#a-e de%acti-ada no puede uti#i0ar%e para encriptar men%a7e%3 ni %e puede e.traer de# ani##o con #a orden L>6.M" Puede uti#i0ar%e para comprobar &irma%3 pero %e mue%tra una ad-ertencia" Adem/%3 %i e# u%uario intenta aadir otra -e0 #a mi%ma c#a-e a# ani##o3 no podr/3 +a ,ue #a c#a-e de%acti-ada +a %e encuentra en 5#" 4%ta% caracter'%tica% combinada% a+udar/n a ata7ar #a di&u%in de una c#a-e de%acti-ada" 1i #a c#a-e p2b#ica indicada +a e%t/ de%acti-ada3 #a orden >6d #e preguntar/ %i ,uiere -o#-er a acti-ar#a" Gu"r+(C GNU +e Pr(A")(+"+ $ GNU Pr(A")- Gu"r+ >GPG? PGP ha %ido e# programa dominante para %o&t!are de encriptacin/autenticacin" 1in embargo3 nue%tro e%t/ndar e% e# OpenPGP o me7or conocido #a GPG + ha comen0ado a permitir otra% ap#icacione% para pro-eer una c#a-e pub#ica %egura de %o&t!are GPL" :Bue e# G uPG1 4# GNU Pri-ac+ Guard (GnuPG o GPG* e% una ap#icacin ,ue u%a un e%,uema de encriptacin de c#a-e pub#ica para encriptar + de%encriptar a%' como #o% archi-o% de autenti&icacin ,ue %on tran%&erido% a tra-5% de #a red" 4# e%,uema de c#a-e pub#ica &unciona en #a %iguiente manera un u%uario tiene do% c#a-e%3 una pri-ada + una pub#ica" La c#a-e pub#ica puede %er u%ada por cua#,uiera ,ue tenga acce%o a# dato encriptado ,ue e% pen%ado para e# propietario de #a c#a-e" La c#a-e pri-ada e%ta %o%tenida + conocida %o#o por e# propietario3 ,ue u%a %u c#a-e pri-ada para de%encriptar e# dato ,ue &ue encriptado con #a c#a-e pub#ica" 4%to permite a #o% u%uario% en-iar in&ormacin a tra-5% de #a red &irmado con una c#a-e pub#ica + %o#o e# propietario de #a c#a-e e%tar/ en po%icin de #eer #o% dato%" La c#a-e pub#ica no puede de%encriptar #o% dato% &irmado% con una c#a-e pub#ica o pri-ada3 a%' a%egurando ,ue %o#o e# %u%tentante de #a c#a-e pri-ada e%tar/ en di%po%icin de #eer cua#,uier dato encriptado" I #!"0")(* +e GPG GPG puede %er obtenido en %u &ormato de cdigo% &uente% para poder %er con&igurado3 compi#ado + #uego in%ta#ado de%de #a <eb o&icia# de GPG en http //!!!"gnupg"org" 4%te %itio da #o% deta##e% + como in%ta#ar GPG3 cua#e% archi-o% de%cargar + pro-eer e%crito ho!to% + FAD ,ue tratan de e# proce%o de in%ta#acin de%de &uente" 4n di%tro% con pa,uete% como #o% D4:% de Debian + Ubuntu o #o% 8PK% de 8ed9at3 Fedora o CentO13 e% %imp#emente Z"/!$ge! ( #!"00 g/g [ %i e% Debian + Z-u& ( #!"00 g/g [ %i e% Fedora3 CentO1 De%pu5% de ,ue GPG e%ta de%cargado e in%ta#ado en e# %i%tema3 #o% u%uario% pueden empe0ar a crear %u% pare% de c#a-e% p2b#ica%/pri-ada%" A# e7ecutar Qg/g $ $ge $De- %e crear/ un directorio k/"gnupg en %u directorio home de# u%uario e7ecutando e# comando" De%pu5% de ,ue #a% do% c#a-e% e%t/n creada%3 e# propietario puede empe0ar a di%tribuir #a c#a-e p2b#ica a otro% u%uario% para en-iar #o% dato% +a encriptado%" Una c#a-e p2b#ica puede %er &i7ada en un %er-idor de c#a-e% o di%tribuido% por emai#3 F)P3 etc" Para di%tribuir una c#a-e pub#ica a un %er-idor de c#a-e3 u%e #a %iguiente %inta.i% de# comando Q g/g $ $De-#erAer U+(re))(* R#erA(+,rV $ $#e +$De- UIDR+eRu#u"r(,V http //!!!"codigo#ibre"org AA
Antonio Perpian
4%to en-iar/ #a c#a-e pub#ica de%de e# ani##o de c#a-e pub#ica ,ue enca7e e# ID de# u%uario con e# 6e+%er-er e%peci&icado" Por e7emp#o3 e# u%uario LaodM emitir/ e# %iguiente comando para cargar %u c#a-e a# 6e+%er-er codigo#ibre"6e+%er-er"net Q g/g $ $De-#erAer ),+(g,0(4reIDe-#erAerI e! $ $#e + ",+ Una -e0 cargado a# 6e+%er-er3 #a c#a-e pub#ica de un u%uario puede %er de%cargada para e# u%o de cua#,uier otro u%uario" U#" +, G uPG 1upongamo% ,ue #o% do% u%uario% GPG LaodM + L6niba#i%mM de%ean intercambiar un archi-o encriptado" 4# u%uario aod uti#i0ar/ #a c#a-e creada recientemente" 4# u%uario 6niba#i%m e%tar/ en po%icin de encriptar dato% dirigido% para aod u%ando #a c#a-e pub#ica de aod ,ue obtu-o de una &orma u otra +a mencionada" 47emp#o% %on ,ue 6niba#i%m puede de%cargar #a c#a-e pub#ica de aod de%de e# 6e+%er-er3 o aod puede en-iar#e directa o 4>mai# %u #a c#a-e pub#ica dentro de un archi-o" Ahora para e.portar una c#a-e pub#ica perteneciente a# ID de u%uario aod a# archi-o 6e+"a%c3 e%te comando e% u%ado Q g/g $$ e%/,r! $ $,u!/u! De-I"#) ",+ 6e+"a%c e% e# nombre de# archi-o en e# ,ue #a c#a-e %er/ e.portada + aod e% e# ID de# u%uario por e# cua# #a c#a-e &ue creada" 4%to crear/ e# archi-o 6e+"a%c3 e# cua# puede %er en-iado a tra-5% de un F)P o emai# a# u%uario 6niba#i%m" Una -e0 6niba#i%m tiene e# archi-o3 e# puede e.traer e# contenido de# ani##o de %u c#a-e pub#ica con e# %iguiente comando Q g/g $ $(&/,r! De-I"#) 4%to agregar/ #a c#a-e de aod a# ani##o de #a c#a-e pub#ica de 6niba#i%m + ahora 6niba#i%m puede encriptar dato% + en-iar#o% a aod" Por %upue%to3 aod tambi5n nece%itar/ obtener #a c#a-e pub#ica de 6niba#i%m para de%encriptar #o% men%a7e% en-iado% por 6niba#i%m o para encriptar men%a7e% para en-i/r%e#o% a 6niba#i%m" Para ,ue 6niba#i%m encripte un archi-o e%pec'&ico para aod3 6niba#i%m debe de e7ecutar e# %iguiente comando Q g/g $#e $r ",+ "r)G(A,R"Re )r(/!"r A,u'3 e# archi-ogagencriptar e%ta %iendo encriptado para aod" La opcin >% #e in%tru+e a GPG ,ue &irme e# archi-o con e# ID de u%uario de# originador3 en e%te ca%o3 aod" La opcin >e #e in%tru+e a# programa ,ue encripte e# archi-o" La opcin >r toma argumento aod para e%peci&icar como recipiente a aod" De%pu5% de e%cribir e%te comando3 6niba#i%m tendr/ ,ue autenti&icar%e entrando %e &ra%e de acce%o" 1o#o #uego GPG e7ecuta e# comando" 4%to creara un archi-o ##amado archi-ogagencriptar"gpg3 e# cua# %o#o puede %er de%encriptado con #a c#a-e pub#ica de aod" Una -e0 aod ha obtenido e# archi-ogagencriptar"gpg3 e# debe de%encriptar#o con %u c#a-e pub#ica para poder #eer#o" 4%to e% rea#i0ado por e# %iguiente comando Q g/g "r)G(A,R"Re )r(/!"rIg/g De%pu5% a aod %e #e preguntara por %u &ra%e de acce%o3 de%pu5% de e%to3 GPG crear/ un nue-o archi-o ##amado archi-ogagencriptar3 e# cua# %era de%encriptar/ una copia de# archi-o origina# ,ue 6niba#i%m pen% para aod" 4%te en un de #o% mucho% e7emp#o% de# u%o de GPG" Otro u%o e% encriptando emai#% para u%uario% e%peci&ic/%" GnuPG e% una reemp#a0o &uerte de# programa propietario GPG3 permitiendo#e a #o% u%uario% intercambiar dato% en una manera %egura + con&iab#e" GUI /"r" GPG 4.i%ten mucho% programa% de Inter&ace% Gr/&ica% de U%uario (GUI* ,ue pro-ee G)\a para GPG" Gnome PGP (gpgp* e% un marco ,ue pro-ee admini%tracin de c#a-e%3 + )6PGP e% un marco creado en )CL/)\ ,ue pro-ee a#guna% opcione% para encriptar + de%encriptar archi-o%" http //!!!"codigo#ibre"org AB
Antonio Perpian
E5er)()(, @$@: Ge er"r u P"r +e C0"Ae# U#" +, GPG 4n e%te e7ercicio u%ted imp#ementara una criptogra&'a de c#a-e pub#ica u%ando e# programa GNU Pri-ac+ Guard (GPG*" No ha+ %o#ucin pro-i%ta para e%te e7ercicio" 1I Ver('(.ue .ue GPG e#!" ( #!"0"+, e #u #(#!e&": U" !, (,X0,)"0G,#! [VQ MG()G g/g Ur,,!X0,)"0G,#! [VZ r/& $. g u/g /u%r/bin/gpg g u/g$1IKI11$@I')1EI(LOL @I I #!"0e GPG u#" +, -u& ( #!"00: W+um in%ta## gpg EI U " Ae6 u#!e+ G"-" Aer('()"+, 0" ( #!"0")(* +e GPGF )C&4(e#e +e ueA, " #u u#u"r(, regu0"r - u#!e+ e)e#(!"rC ge er"r u /"r +e )0"Ae#: U" !, (,X0,)"0G,#! [VQ g/g $$ge $Degpg (GnuPG* $"@"$$I Cop+right (C* ;G$G Free 1o&t!are Foundation3 Inc" )hi% i% &ree %o&t!are +ou are &ree to change and redi%tribute it" )here i% NO <A88AN)d3 to the e.tent permitted b+ #a!" P#ea%e %e#ect !hat 6ind o& 6e+ +ou !ant ($* 81A and 81A (de&au#t* (;* D1A and 4#gama# (?* D1A (%ign on#+* (@* 81A (%ign on#+*
KI E !re S1TF 0ueg, /re#(, e ENTER

dour %e#ectionE $ 81A 6e+% ma+ be bet!een $G;@ and @GOH bit% #ong" <hat 6e+%i0e do +ou !antE (;G@B*
JI Se0e))(, e @7KO 4(!# ),&, e0 !"&"H, +e 0" )0"AeI

8e,ue%ted 6e+%i0e i% ;G@B bit% P#ea%e %peci&+ ho! #ong the 6e+ %hou#d be -a#id"
LI Pre#(, e ENTER /"r" ), '(gur"r 0" )0"Ae "#3 e#!" u )" e%/(r"r"I
G X 6e+ doe% not e.pire hnc X 6e+ e.pire% in n da+% hnc! X 6e+ e.pire% in n !ee6% hncm X 6e+ e.pire% in n month% hnc+ X 6e+ e.pir in n +ear%
\e+ i% -a#id &orE (G* G \e+ doe% not e.pire at a##
PI C, '(r&e #u +e)(#(, e !r" +, SYT - /re#(, " +, ENTERI

I% thi% correctE (+/N* + dou need a u%er ID to identi&+ +our 6e+I the %o&t!are con%truct% the u%er ID &rom the 8ea# Name3 Comment and 4mai# Addre%% in thi% &orm T9einrich 9eine (Der Dichter* hheinrichhldue%%e#dor&"decT
OI E !re #u ,&4re re"0F #u +(re))(* +e e&"(0 - u ),&e !"r(,I

8ea# name Antonio Perpinan 4mai# addre%% aperpinanlcodigo#ibre"org Comment Pre%idente Fundacion Codigo Libre dou %e#ected thi% U148>ID TAntonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgcT
\I De4erC ), '(r&"r !,+, 0, " !er(,r e#)r(4(e +, O - e !erI

Change (N*ame3 (C*omment3 (4*mai# or (O*6a+/(D*uitE O dou need a Pa%%phra%e to protect +our %ecret 6e+"
17I AG,r"F e !re #u 'r"#e +e "))e#,I U#!e+ !e +r" .ue ), '(r&"r 0" 'r"#e +e "))e#,I
<e need to generate a #ot o& random b+te%" It i% a good idea to per&orm %ome other action (t+pe on the 6e+board3 mo-e the mou%e3 uti#i0e the di%6%* during the prime generationI thi% gi-e% the random number generator a better chance to gain enough entrop+"
11I E0 /r,gr"&" GPG 0ueg, ge er"rC u ueA" /"r +e )0"Ae#I M(e !r" 0, G")eF e#)r(4" e e0 !e)0"+, &ueA" e0 &,u#e "#3 e0 ),&/u!"+,r re)(4e "0gu "# ( ',r&")(, e# .ue e)e#(!" /"r" /,+er ge er"r u /"r +e )0"Ae# 'uer!e#I
"""aaaaa aaaaa gpg 6e+ AOF$CFDJ mar6ed a% u#timate#+ tru%ted pub#ic and %ecret 6e+ created and %igned" gpg chec6ing the tru%tdb gpg ? margina#(%* needed3 $ comp#ete(%* needed3 PGP tru%t mode#
AO
Antonio Perpian
gpg depth G -a#id ; %igned G tru%t G>3 G,3 Gn3 Gm3 G&3 ;u pub ;G@B8/AOF$CFDJ ;G$$>G$>;A \e+ &ingerprint X G@AD @HFG HGAC ;:JC $HAB 4J@$ J4$F A;JC AOF$ CFDJ uid Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc %ub ;G@B8/GCO$B;$J ;G$$>G$>;A
11I De#/u;# +e u !(e&/,F e0 /r,gr"&" GPG '( "0(6"rCI C, '(r&e .ue GPG 0e G" )re"+, u " )0"Ae /r(A"+" e#)r(4(e +, e0 #(gu(e !e ),&" +,:
eantoniol#oca#ho%t kfP gpg >>#i%t>%ecret>6e+% /home/antonio/"gnupg/%ecring"gpg >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> %ec ;G@B8/H@GB4A$$ ;G$$>G$>;J uid Antonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgc %%b ;G@B8/OA@@OA$G ;G$$>G$>;J %ec ;G@B8/AOF$CFDJ ;G$$>G$>;A uid Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc %%b ;G@B8/GCO$B;$J ;G$$>G$>;A
1@I AG,r" Aer('(.ue .ue u#!e+ !(e e u " )0"Ae /u40()"

eantoniol#oca#ho%t kfP gpg >>#i%t>6e+% /home/antonio/"gnupg/pubring"gpg >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> pub @GOH8/BFCFF@DA ;GGO>G?>;$ uid 8PK Fu%ion &ree repo%itor+ &or Fedora ($$* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc pub @GOH8/$HCA$AJH ;GGO>GJ>$A uid 8PK Fu%ion &ree repo%itor+ &or Fedora ($;* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc pub ;G@B8/H@GB4A$$ ;G$$>G$>;J uid Antonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgc %ub ;G@B8/OA@@OA$G ;G$$>G$>;J pub ;G@B8/AOF$CFDJ ;G$$>G$>;A uid Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc %ub ;G@B8/GCO$B;$J ;G$$>G$>;A
1EI Ver('(.ue .ue u#!e+ G" '(r&"+, #u )0"Ae:

eantoniol#oca#ho%t kfP gpg >>#i%t>%ig% /home/antonio/"gnupg/pubring"gpg >>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> pub @GOH8/BFCFF@DA ;GGO>G?>;$ uid 8PK Fu%ion &ree repo%itor+ &or Fedora ($$* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc %ig ? BFCFF@DA ;GGO>G?>;$ 8PK Fu%ion &ree repo%itor+ &or Fedora ($$* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc pub @GOH8/$HCA$AJH ;GGO>GJ>$A uid 8PK Fu%ion &ree repo%itor+ &or Fedora ($;* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc %ig ? $HCA$AJH ;GGO>GJ>$A 8PK Fu%ion &ree repo%itor+ &or Fedora ($;* hrpm&u%ion>bui#d%+%l#i%t%"rpm&u%ion"orgc pub ;G@B8/H@GB4A$$ ;G$$>G$>;J uid Antonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgc %ig ? H@GB4A$$ ;G$$>G$>;J Antonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgc %ub ;G@B8/OA@@OA$G ;G$$>G$>;J %ig H@GB4A$$ ;G$$>G$>;J Antonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgc pub ;G@B8/AOF$CFDJ ;G$$>G$>;A uid Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc %ig ? AOF$CFDJ ;G$$>G$>;A Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc %ub ;G@B8/GCO$B;$J ;G$$>G$>;A %ig AOF$CFDJ ;G$$>G$>;A Antonio Perpinan (Pre%idente Fundacion Codigo Libre* haperpinanlcodigo#ibre"orgc
1KI Y" u#!e+ e#!" 0(#!, /"r" u!(0(6"r - e&/e6"r " !r" #"))(, "r )0"Ae# /u40()"# E5er)()(, @$E: Cre"r u Ar)G(A, +e 2(r&" 4n e%te e7ercicio3 u%ted creara un archi-o de &irma3 #uego #o tran%&erir/ de%de e# %i%tema A a# %i%tema :" No %e pro-een %o#ucione% para e%te e7ercicio" http //!!!"codigo#ibre"org BG
Antonio Perpian
1I U#e !,u)G /"r" )re"r u "r)G(A,I N,&4re0, #-#!e&AI eantoniol#oca#ho%t P8AC)ICA1fP touch %+%temA @I Cree u !e%!, )0"r, /"r" "r)G(A, +e '(r&"I E !re e0 #(gu(e !e ),&" +,:
eantoniol#oca#ho%t P8AC)ICA1fP gpg >>c#ear%ign %+%temA dou need a pa%%phra%e to un#oc6 the %ecret 6e+ &or u%er TAntonio Perpinan (Fundacion Codigo Libre Dominicano* haperpinanlcodigo#ibre"orgcT ;G@B>bit 81A 6e+3 ID H@GB4A$$3 created ;G$$>G$>;J
EI E !re #u 'r"#e +e "))e#,I >e e0 )"#, ue#!r, e# #,0u)(, ? KI S( #u "r)G(A, ,r(g( "0 e# #-#!e&AF GPG ge er"rC u ueA, "r)G(A, +e !e%!, 00"&"+, #-#!e&AI"#)I U#e 0# /"r" Aer('()"r - )"! /"r" 0eer e#!e "r)G(A,:
eantoniol#oca#ho%t P8AC)ICA1fP #% %+%temA %+%temA"a%c eantoniol#oca#ho%t P8AC)ICA1fP cat %+%temA"a%c
>>>>>:4GIN PGP 1IGN4D K411AG4>>>>> 9a%h 19A$ >>>>>:4GIN PGP 1IGNA)U84>>>>> =er%ion GnuPG -$"@"$$ (GNU/Linu.* iD4c:A4:AgAG:DNNDX,7AAoN4NJAJup6COc8H8U9/G-L@:;p?=LDp:iI#0hpGINb DI1mg@C=#Ab\LpeC=tG+@1mU4i++gBN<B=+PGH+Air8;d.h.HUa,,H1udgb.%ddb GAh-;n7<)c1GD4GOoG!0h:0!<4pH$&<dFnN4L1U:X;<JF8GN?i#:Dd<8KBJb/GD? uUNH,8Hb-=?nK1/O?m)#<h6A!++J0LPDPLn<a@:+C#Fp:IPuauuh,8CNDo9aUm%@ Hg:.r+7$+gHP)0DJeU$,LraNdcXKCdg0-@!B%;e!a?\nA8OHpGba=!NGN/+CtNUD ?N1K4L@FoO</O6\NA%bNaHO!OpD4u):-t$$cNAd+o+)<A)X,L0Hciu.1O=uX/BDX XO\nm >>>>>4ND PGP 1IGNA)U84>>>>>
JI C,/(e e#!e "r)G(A, +e e%!e #(* I"#) >#-#!e&AI"#)? " #u &e&,r(" USB - 00;Ae0, " #u ,!r, ),&/u!"+,r !e g" 00"&"+, /"r" 0" /r")!()" #(#!e&" BI LI AG,r" re/(!" 0,# /"#,# /"r" e0 ),&/u!"+,r BI U#!e+ /ue+e u#"r e#!,# "r)G(A,# /"r" Aer('()"r +,)u&e !,# '(r&"+,# /,r #u #(#!e&" B , #(#!e&" AI E5er)()(, @$E: 2(r&" +e Ar)G(A,# ), GPG 4n e%te e7ercicio3 u%ted crear/ un archi-o de &irma3 #uego #o dar/ a# %i%tema :" Luego u%ted puede &irmar un documento" 4# 1i%tema : #uego u%ar/ e# archi-o de &irma para -eri&icar e# documento" No %e pro-een %o#ucione% para e%te e7ercicio" $" Cree un nue-o archi-o ##amado %igA3 ,ue repre%entar/ a# %i%tema A" u%ted ma% ade#ante &irmar/ e%te archi-o + #o pa%ara a# %i%tema :" eantoniol#oca#ho%t P8AC)ICA1fP touch %igA ;" 4%criba#e una% cuanta% #inea% (puede %er 9o#a Kundo Crue#* de te.to en e%te archi-o eantoniol#oca#ho%t P8AC)ICA1fP echo 9o#a Kundo Crue# c %igA ?" U%e cat para -eri&icar ,ue e%te archi-o ahora contiene te.to" eantoniol#oca#ho%t P8AC)ICA1fP cat %igA 9o#a Kundo Crue# @" Ahora &irme + encripte e%te men%a7e a%' %o#o e# %i%tema : puede #eer#o ho%tW gpg >%e >r partnerZ%gpub#icg6e+ %igA J" 4ntre #a &ra%e de acce%o para %u c#a-e pub#ica" H" 4%te archi-o ahora tiene una e.ten%in "gpg" Copie e%ta &irma a %u directorio F)P (/-ar/&tp/* + tiene a %u %i%tema : tom/ndo#o" A" Obtenga e# archi-o de# %i%tema : (recuerde3 tiene ,ue tener #a e.ten%ion "gpg*" B" U%ted tiene ahora un archi-o ,ue &irma e# %i%tema : + #o tiene tambi5n encriptado para u%ted" Ahora u%e e# %iguiente comando para -eri&icar e# archi-o W gpg [-eri&+ parther."a%c %igA"gpg gpg 1ignature made 1un ;GGJ GH J@ G? PK GK) u%ing D1A 6e+ ID GB@GAH;@ http //!!!"codigo#ibre"org B$
Antonio Perpian gpg Good %ignature &rom LAntonio Perpinan (m+%ecretphra%e*
Fundacin Cdigo Libre Dominicana hmai#lmai#"comcM
RESUMEN 4n e%te cap'tu#o3 cubrimo% en deta##e #a tecno#ogia de encriptacin" A#guno% de #a% pub#icacione% c#a-e% ,ue di%cutimo% &ueron La encriptacin puede %er c#a%i&icada como de :#o,ue +/o F#u7o de :it%" Un ci&rado e% una imp#ementacin de un a#goritmo de encriptacin" Lo% tipo% de a#goritmo% de encriptacin %e inc#u+en e# %im5trico3 a%im5trico + ha%h" 4# PGP e% un programa de encriptacin amp#iamente u%ado ,ue entrega encriptacin de c#a-e% pub#ica% para #o% u%uario% + organi0acione%" La &uer0a de #a encriptacin e% ba%ada en tre% &actore% #o %ecreta ,ue puede %er una c#a-e3 Longitud de #a c#a-e3 decadencia debi#idade% en a#goritmo% ci&rado% o imp#ementacione%" La In&rae%tructura de C#a-e Pub#ica (P\I* re,uiere admini%tracin de a#guna% c#a-e% ,ue e# e%,uema %im5trico de admini%tracin de c#a-e%" Lo% certi&icado% digita#e% pro-een un %igni&icado de -eri&icacin de identidad" Pregu !"# P,#!$E%"&e La% re%pue%ta% a e%ta% pregunta% e%t/n en e# Ap5ndice A" $" 4.p#i,ue #o b/%ico de #a encriptacin a%im5trica" ;" CCu/#e% %on #o% tre% e#emento% ma% comune% de una c#a-e a%im5tricaE ?" CCmo e% de%crita #a encriptacin ha%hE @" CDu5 e% un certi&icado digita#E J" CDu5 e% un %er-idor P\I (Pub#ic \e+ In&ra%tructure*E H" CCu/#e% %on #o% tre% &actore% principa#e% en #a &uer0a de una encriptacinE
B;
Antonio Perpian
AUTENTICANDO
TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin Proteger #o% 1er-icio% )CP/IP Comunicacione% 1egura% <rapper% )CP F)P Annimo 1eguro 1erguridad de Archi-o% Compartido% 8e%umen Pregunta% Po%t>4.amen No. ?A ?A ?B ;HA ;AG ;AJ ;BG ;BJ HG H$
CAPITULO
OBJETIVOS:
Al completar este captulo, usted podr Identi&icar e# m5todo dominante de #a autenticacin de# u%uario" De&inir + de%cribir un pa%%!ord %eguro3 e# contorno + de%cribir #a% -u#nerabi#idade% comune% en #a %e#eccin de un pa%%!ord + #o% bene&icio% de pa%%!ord con &echa% de e.piracin" De%cribir e# con7unto de uti#itario% 1hado! + %u% u%o%" 4.p#icar como un u%uario% puede u%ar un programa Crac6 para de%cubrir debi#idade% de #o% %i%tema%" De%cribir #a e%tructura de# Kodu#o de Autenticacin In%ertab#e (PAK* + #o% di&erente% componente% ,ue con&orman a# %i%tema" :u%car #o% Prop%ito% de# 1ub%i%tema PAK + %er capa0 de imp#ementar cambio% b/%ico% en #a con&iguracin de PAK" De%cribir #a% -enta7a% de %eguridad de un pa%%!ord de una %o#a -e0 a%' como #o% programa% ,ue o&recen e%ta &uncin3 particu#armente 1/\e+3 ahora OPI4" De%cribir e# proce%o de autenticacin en e# %i%tema \erbero% a%' como de# u%o de tic6et% (permi%o%* + e# ro# de un %er-idor ,ue concede tic6et% (permi%o%*" 4.p#icar #a nece%idad para m5todo de contro# de acce%o" De%cribir #a &uncin de un Li%tado de contro# de acce%o (ACL* + una Li%ta de Contro# de 47ecucin (4CL*"
Pregu $" ;" DEL SISTEMA OPERATIVO GNU/LINUX ?"
SEGURIDAD
!"# Pre$E%"&e CDu5 e% conocido por autenticacin de %eguridadE CDu5 e% conocido por autori0acinE CCu/# m5todo de %eguridad a%egura ,ue indi-iduo%3 %i%tema%3 o proce%o% acce%en %o#o a #o ,ue e##o% e%t/n autori0ado%E @" Cua# e% #a &uncin de #a Li%ta de Contro# de Acce%o (ACL*
B?
Antonio Perpian
INTRODUCCION La &undacin de todo #o% mecani%mo% de %eguridad e% #a autenticacin" 4n un mode#o &orma# de %eguridad3 #a identi&icacin + #a autenticacin (IVA* e%t/n apareado%" 4n e%te capitu#o3 e# en&o,ue %era e# mecani%mo de autenticacin" Cuando tu encuentra% conocido% en una ca##e pub#ica3 tu #o% reconoce% por %u% ro%tro%3 %u %onri%a3 %u -o03 o ,ui0/% tu memori0a% #o% nombre% para en#a0ar ro%tro% %imi#are% ba%ado% en un articu#o de ropa3 carro%3 o otro% di%po%iti-o% mnemonico%" Lo% humano% u%an mucho% m5todo% para retener #a in&ormacin ,ue uti#i0an para identi&icar #o% indi-iduo%" A#guna -e0 ha% conocido a a#guien ,ue pen%aba% ,ue conoc'a%3 pero no e% a%'E" Para permitir a #o% u%uario% acce%o %eguro a un %i%tema de computadora3 e% -ita# identi&icar#o% + autenticar %u identidad en contra de a#guno% criterio%" M;!,+,# +e Au!e !()")(* La autenticacin e% un proce%o ,ue intenta -eri&icar #a identidad de un u%uario3 %i%tema3 o proce%o de %i%tema" De%pu5% de e%ta identi&icacin ha tomado #ugar3 e# %i%tema autenticado o #o% u%uario% de%pu5% pueden tener acce%o de acuerdo a #o% par/metro% e%tab#ecido% por e# admini%trador de %i%tema%" 1i ha% u%ado una tar7eta A)K3 pre%entado una tar7eta de identi&icacin de e%tudiante3 o u%ado una #icencia de conducir3 u%ted e%ta ingre%ado en una &orma de identi&icacin indi-idua#" 1i u%ted ha u%ado una contra%ea para ingre%ar a %u computadora en una red3 u%ted ha participado en una autenticacin de u%uario" De hecho3 nadie ,ue ha u%ado una ##a-e de ca%a o de carro ha emp#eado #o% principio% de autenticacin de u%uario%" 1in embargo3 #a autenticacin tambi5n ap#ica a# %i%tema comp#eto + a #a% rede%" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin Creando 8e#acione% Con&iab#e% K5todo% de Autenticacin Debi#idad de Contra%ea% La 1uite 1hado! Crac6 Generadore% de Contra%ea + Pa%%!ord de una 1o#a Oca%in (O)P%* Cre" +, Re0")(, e# C, '("40e# 4n identi&icar a a#guien3 e%tamo% imp#icando ,ue no #e% prohibiremo% a#guno% pri-i#egio% o derecho%" 4n e# ni-e# ma% b/%ico3 una re#acin con&iab#e imp#ica e# con&iar en otro indi-iduo o entidad" Con tecno#og'a con&iar en otra entidad a menudo imp#ica encriptacin de in&ormacin a%' %o#o un partido puede de%encriptar un archi-o encriptado por otro u%uario" Ap#icando encriptacin %igni&ica e%tab#ecer ni-e#e% de re#acione% con&iab#e% entre #o% ho%t + #a entidade%" U " S(&/0e Re0")(* C, '("40e Una re#acin de con&ian0a puede tomar una &orma e.ce%i-amente %imp#e3 %in re,uerir encriptacin" Por e7emp#o3 %i u%ted &uera a rea#i0ar e# %iguiente comando3 u%ted crear/ una re#acin de con&ian0a permitiendo u%uario% ,ue ingre%en a# %i%tema uti#i0ando r%h o r#ogin de%de e# nombre de ho%t e%peci&icado o #a direccin IP %in #a nece%idad de pro-eer una contra%ea Q e)G, S), '("+,I),+(g,0(4reI,rgT Y /e!)/G,#!#I"00,M 4%to e% un e7emp#o de una re#acin de con&ian0a ma# emp#eada para crear con-eniencia% para #o% u%uario%" Una &uncin %imi#ar puede %er rea#i0ada por u%uario% indi-idua#e% por #a creacin un archi-o "rho%t% en %u directorio home" 4%te mecani%mo data de%de #a creacin de Internet donde #a conecti-idad + #a &unciona#idad http //!!!"codigo#ibre"org B@
Antonio Perpian
&ueron #a% principa#e% preocupacione% + #a %eguridad &ue raramente con%iderada" Lo% uti#itario% r como %on r%h3 r#ogin + e# demonio ,ue pro-ee e%to% %er-icio%3 %on inherentemente in%eguro% + no deber'an %er u%ado%" Lo% admini%tradore% puede u%ar cron para hacer un horario de -eri&icacin diaria por #a e.i%tencia de e%to% archi-o%3 %ea#i0ando #a% accione% re,uerida% por e# admini%trador" 4%ta% accione% no pueden %er #imitada% a #a e#iminacin de #o% archi-o%3 pero haciendo ,ue #o% u%uario% %e enteren de ,ue e%o% archi-o% comprometen #a %eguridad + no -an a %er uti#i0ado%" E )r(/!")(* B"#"+" e C, '(" 6" 4% tambi5n po%ib#e crear una re#acin de con&ian0a ba%ada en #a% ##a-e% de encriptacin" Una -e0 tiene generada #a ##a-e3 u%ted puede con&igurar programa% ta#e% como 1ecure 1he## (119* para ,ue autom/ticamente autenti&i,uen u%ando #a ##a-e +3 de nue-o3 pa%ando #o nece%ario para #a contra%ea" 4%to genera una debi#idad en #a %eguridad" 4# m5todo ma% prudente e% di%tribuir #a% ##a-e% pub#ica% a cua#,uier per%ona" U%ted puede di%tribuir #a% ##a-e% pub#ica% u%ando do% m5todo% < M" u"0 Lo primero e% ,ue u%ted debe de en-iar #a% ##a-e% pub#ica% dentro de un recipiente #uego codi&icar e# men%a7e a #a ##a-e pub#ica de# recipiente" 4%te m5todo e% actua#mente re,uerido para 1/KIK4 + PGP" < Au!,&C!(), 1193 1ecure 1oc6et La+er (11L* + e# protoco#o de %eguridad de Internet (IP1ec* e%t/n di%ponib#e% para intercambiar in&ormacin (inc#u+endo ##a-e% pri-ada%* en una manera ra0onab#e + %egura a tra-5% de una %erie de hand%ha6e% (Apretn de Kano% X 1e re&iere a# protoco#o de comien0o de comunicacin entre do% m/,uina% o %i%tema%*" Di%cutiremo% ma% %obre e%to ma% ade#ante" M;!,+,# +e Au!e !()")(* Lo% u%uario% o %i%tema% pueden probar ,ue e##o% %on ,uiene% demandan ,ue %ea en cuatro manera%" Cuando e%to -iene a #a autenticacin3 e# re%to de e%te cur%o e%peci&icara #o% programa% ba%ado% en e%o% cuatro% m5todo% o &actore%" A#guno% e%t/ndare% para %eguridad re,uieren do% &actore% de autenticacin3 pro-e+endo %u identidad por m5todo% de%de do% de e%a% c#a%i&icacione%" U%ted puede pro-eer %u identidad por U Probando #o ,ue Conoce U Ko%trando #o ,ue )iene% U Demo%trando ,uien 4re% U Identi&icando donde 4%ta% L, .ue C, ,)e Lo% m5todo% de autenticacin ma% comune% en Internet + en e# mundo computaciona# e% #a% autenticacin de #a contra%ea" Cuando u%ted ingre%a a una red computaciona#3 u%ua#mente a u%ted %e #e pide un ID de u%uario + una contra%ea" 4# ID de u%uario no e% t'picamente una in&ormacin %ecreta3 pero #a contra%ea %i #o e%" La contra%ea e% a#go ,ue conoce" Una po#'tica de %eguridad debe de dictaminar ,ue e%ta in&ormacin no debe de %er compartida3 de e%ta manera %o#o u%ted conocer/ %u contra%ea" 4# computador ba%a %u autenticacin en #a contra%ea" 4%to no e% un &a##o en #a parte de# computador pero %i en e# u%uario" 4%te tambi5n re%u#ta de%de #a ap#icacin %imp#e de %o#o un modo de autenticacin" L, .ue T(e e# 4%te m5todo e% #e-emente ma% a-an0ado por ,ue u%ted nece%ita a#g2n 'tem &'%ico para #a autenti&icacin3 a#guna% -ece% ##amado to6en o &icha" Un buen e7emp#o e% crear una tar7eta para entrar &'%icamente donde %e encuentra e# computador" Cua#,uiera ,ue pre%ente #a tar7eta tendr/ acce%o garanti0ado a# edi&icio" 1i u%ted da #a tar7eta a otro per%ona3 e%t/ per%ona podr/ acce%ar a# edi&icio como %i &ue%e u%ted" Por #o tanto3 %e debe de crear http //!!!"codigo#ibre"org BJ
Antonio Perpian
un m5todo ma% %o&i%ticado de %i%tema de autenticacin para #a entrada a# edi&icio3 u%ted re,uerir/ no %o#o #a tar7eta (#a cua# e% e# m5todo de autenticacin ba%ado en #o ,ue tiene%*3 pero tambi5n una contra%ea (#a cua# e% un m5todo ba%ado en #o ,ue conoce%*" 4n #a indu%tria de #a% computadora%3 e# me7or e7emp#o de# m5todo de #o% ,ue tiene% e% e# u%o de tar7eta% inte#igente% + certi&icado% digita#e%" T"r5e!"# I !e0(ge !e# )oda% #a% tar7eta% inte#igente% contienen un micro chip" 4# chip contiene una in&ormacin e%peci&ica %obre e# propietario3 inc#u+endo m2#tip#e% cuenta% de tar7eta% de cr5dito%3 #a in&ormacin de #a #icencia de conducir3 in&ormacin medica + a%' %uce%i-amente" Una tar7eta inte#igente puede %er de# tamao e.acto de una tar7eta norma# de cr5dito o ma% grande3 dependiendo de #a capacidad de e# chip enca7ado en e##a" A#guna% -ece% #o% microchip% enca7ado% contiene in&ormacin de %o#o #ectura" Norma#mente e%to% chip mantienen ma% in&ormacin ,ue #a tira magn5tica encontrada en #a parte tra%era de de una tar7eta de cr5dito" Dicha tar7eta% #imitada% pueden %er programada% una %o#a -e0 + %on comp#etamente dependiente para operar de una ma,uina ##amada #ector de tar7eta inte#igente" )oda% #a% tar7eta% inte#igente% con&'an en un #ector3 e# cua# e% un di%po%iti-o e#ectrnico ,ue e%canea #a tar7eta" Por e7emp#o una tar7eta =I1A pro-ee un #ector para %u% tar7eta%" A#guna% tar7eta% inte#igente% no re,uieren &uente de e#ectricidad para operar3 e.i%ten otra% ,ue contienen %u propia &uente de energ'a3 + otra% ,ue deri-an %u energ'a de# #ector de #a tar7eta inte#igente ante% de ,ue %e acti-e e# microchip" Lo% do% tipo% de tar7eta% inte#igente% %on de contacto% + %in contacto%" La% tar7eta% de contacto deben de tocar directamente e# di%po%iti-o de #ectura3 mientra% ,ue #a% tar7eta% %in contacto% pueden comunicar%e con e# #ector a tra-5% de una cone.in e#ectromagn5tica ina#/mbrica" Un tar7eta %in contacto puede igua#mente %er-ir para autenticar un u%uario" La% tar7eta% inte#igente% pueden o&recer mucha% caracter'%tica%" A#guna% permiten ,ue %u memoria per%i%tente pueda %er ree%crita" Otra% %on -erdadera% minicomputadora% en e# %entido de ,ue tienen di%po%iti-o% de entrada + %a#ida3 memoria per%i%tente3 8AK + una Unidad de Proce%amiento Centra# acti-a (CPU*" A#guna% tar7eta% inte#igente% %on u%ada% por u%uario% con nece%idad de %er autenticado% para e&ectuar tarea% de 4ntrar a #o% 4di&icio% Uti#i0ar Ce#u#are% Ingre%ar en un 9o%t e%pec'&ico Participar en una red Conducir tran%accione% bancaria% + comercio e#ectrnico" La Organi0acin Internaciona# de 4%tandari0acin (I1O* en e# documento AB$H contiene e# e%t/ndar de #a% tar7eta% inte#igente%" U%ted puede #eer ma% %obre #a% tar7eta% inte#igente% e# #o% %iguiente% %itio% U La A%ociacin de Indu%tria% de )ar7eta% Inte#igente% (!!!"%cia"org/* U 4# %itio home (!!!"$"%#b"com/%martcard%/* U 4# %itio <eb de =i%a (!!!"-i%a"com/nt/chip/main"htm#* Bu(e Ere# 4%te proce%o e%ta ba%ado en a#go &'%ico3 gen5tico3 o con caracter'%tica% ,ue no pueden %er dup#icada%" 4%te m5todo e% tambi5n conocido como biom5trica" 9a%ta recientemente3 #a biom5trica de autenticacin a-an0ada http //!!!"codigo#ibre"org BH
Antonio Perpian
era mu+ co%to%a e imp#ementada en ambiente a#tamente %eguro%" Ahora ciento% de compa'a% han producido% %o#ucione% biom5trica% de ba7o co%to" 47emp#o de e%te m5todo inc#u+e #a% hue##a% digita#e%3 e%caneado de patrone% &acia#e%3 e%caneo de #a retina de# o7o + an/#i%i% de -o0" La Corporacin Compa, (ho+ d'a 9e!#ett>Pac6ard* pro-ee e%caner% de hue##a% digita#e% con e# tamao de un mou%e %eria# e%t/ndar + e%o e% &i7ado a# #ado de# monitor" U%ted puede encontrar ma% in&ormacin %obre e%te #ector en !!!"compa,"com//product%/option%/&it/inde."htm#" =eridicon e% e%pecia#i%ta en identi&icacin por hue##a% digita#e% ,ue autenti&ica a #o% u%uario% con un e,uipo e%t/ndar" A#guno% de e%to% producto% u%an un e%caner %imp#e conectado -'a #a% cone.ione% de# puerto para#e#o o por e# Uni-er%a# 1eria# :u% (U1:*" D, +e E#!"# 4% #a &orma ma% d5bi# de autenticacin3 e%ta e%trategia determina #a identidad ba%ada en #a ubicacin" Por e7emp#o3 La% ap#icacin de UNiX r#ogin + r%h autentican a #o% u%uario%3 ho%t% o #o% proce%o% ba%ado% en gran parte en #a &uente de %u direccin IP" 4# 8e-er%e DN1 Loo6up no e% una pr/ctica de autenticacin e%tricta3 pero e% re#acionada por ,ue e%ta por #o meno% intenta determinar e# origen de una tran%mi%in ante% de permitir#e e# acce%o" Por ao%3 Lo% %itio% de U"1" Pro-een %o&t!are ,ue u%an &uerte% encriptacione% (encriptacin de $;B bit o ma%* conducido por e# 8e-er%e DN1 Loo6up en todo% #o% ho%t%" 1i un %er-idor encuentra ,ue un ho%t pertenece a un dominio &uera de #o% 4%tado% Unido% (o %i e# re-er%e DN1 Loo6up no &ue po%ib#e*3 e# %er-idor denegara #a cone.in" 4%ta pr/ctica e% com2n en -aria% con&iguracione%" De4(0(+"+e# +e 0"# C, !r"#eH"# La% contra%ea% %on una parte integra# de un %i%tema de %eguridad3 %in e# cua# un %i%tema% e%tar'a comp#etamente abierto + -u#nerab#e a cua#,uier intru%o" La creacin de un mantenimiento de &uerte% contra%ea% e% re%pon%abi#idad de# admini%trador + e# u%uario de un %i%tema" La% contra%ea% %on importante% por,ue e##a% pre-ienen a ,ue u%uario% ma#icio%o% accedan a# %i%tema" Lo% dato% pueden %er e.tra'do% o corrompido% &/ci#mente por un u%uario ,uien obtenga #a% contra%ea% de# %i%temaI e%to puede traer con%igo una p5rdida de in&ormacin + re%u#tar en una perdida monetaria -a#io%a" 1in importar ,ue e# %i%tema no tenga in&ormacin -a#io%a3 e% a2n importante mantener un %i%tema %eguro" Con #a contra%ea de un %i%tema3 un u%uario ma#icio%o puede u%ar e# %i%tema como un ho%t para e&ectuar %u% acti-idade% i#ega#e%" Cre" +, C, !r"#eH"# 2uer!e# Una contra%ea &uerte e% una ,ue e% di&'ci# de crac6ear3 ,ue %e cambia a menudo + ,ue e% a#macenada en un %itio %eguro3 punto" L,# C"r")!ere# - e0 2,r&"!, +e u " C, !r"#eH" 1i una contra%ea e% e#egida pobremente3 e%ta podr/ %er &/ci# de crac6ear" La% contra%ea% pueden %er crac6eada% de -aria% manera%3 inc#u+endo un ata,ue de diccionario o un ata,ue de &uer0a bruta" Un ata,ue de diccionario ocurre cuando una #i%ta de contra%ea% encriptada% de un %i%tema (u%ua#mente a#macenada en /etc/%hado!* %on obtenida%3 #uego -eri&icada% en contra de una #i%ta de contra%ea% encriptada% creada% de%de un diccionario (o una #i%ta de pa#abra%*" 1i una de #a% contra%ea% encriptada% creada% por e# diccionario% concuerda con #a contra%ea encriptada tomada de# %i%tema3 #uego e# crac6er %abe ,ue e%a entrada de# diccionario e% #a contra%ea de# %i%tema" A%'3 e# crac6er tiene #a contra%ea ,ue puede %er u%ada para acceder a# %i%tema %in autori0acin" Un ata,ue de &uer0a bruta trata toda% #a% po%ib#e% combinacione% de #etra%3 n2mero% + caractere% http //!!!"codigo#ibre"org BA
Antonio Perpian
e%pecia#e% para poder ingre%ar a# %i%tema3 primero tratando #a% combinacione% ma% probab#e%3 ta#e% como pa#abra% en Ing#e%3 #uego toda% #a% pa#abra% + continuar/ ha%ta ,ue #a contra%ea ha+a %ido crac6eada" Kucha% contra%ea% %on &/ci#e% de crac6ear por,ue %on re#ati-amente corta% + %on u%ua#mente creada% con pa#abra% encontrada% en un diccionario" 1ecuencia% de n2mero% %imp#e tambi5n %on contra%ea% pobre%" La% contra%ea% ,ue %on e%pe7o% de permutacione% de pa#abra% de diccionario %on tambi5n &/ci#e% de crac6ear con %o&t!are moderno para crac6ear" )ambi5n3 mucho% u%uario% crean contra%ea% ba%ada% en in&ormacin per%ona#3 ta# como d'a% de cump#eao% o nombre% de u%uario%" Dicha% in&ormacione% pueden a#guna% -ece% %er obtenida% por crac6er uti#i0ando e# comando &inger" 4%to% ata,ue% pueden %er pre-enido% e#igiendo buena% contra%ea%" Una buena contra%ea t'picamente conoce #o% %iguiente re,uerimiento% U Contiene una me0c#a de #etra%3 n2mero%3 + caractere% e%pecia#e% (ta#e% como V3h3 o W* U Por #o meno% e% de B caractere% U No puede %er encontrada% en ning2n diccionario de #engua7e" Una manera com2n de crear contra%ea% e% crear un acrnimo de una &ra%e per%ona#" Por e7emp#o c$O@VmAo4J%$)WaP3 e%to puede %er un acrnimo de LComo e%ta%M3 con #etra% e#egida% a# a0ar3 n2mero% + caractere% e%pecia#e% in%ertado% para ob%tacu#i0ar e# crac6ing de una contra%ea" Una manera toda-'a e&ecti-a de contra%ea puede %er #a %entencia por #a %ub%titucin de n2mero% por #etra% por e7emp#o3 )cGNG)m" Lo% u%uario% deben de notar ,ue mientra% ma% #arga + comp#icada e% #a contra%ea3 e% ma% di&'ci# de recordar" Por #o tanto3 e# reto para e# u%uario e% crear una contra%ea ,ue pueda recordar &/ci#mente + ,ue tambi5n %ea di&'ci# de crac6ear" A0&")e "&(e !, +e C, !r"#eH"# A#guno% u%uario% mantienen %u% contra%ea% di&'ci#e% pero e%crita% en e%critorio%3 pape#e% en #a cartera3 etc3 tradiciona#mente e%ta ha %ido una de #a% peore% accione% ,ue un u%uario puede tomar" La% contra%ea% ,ue %on e%crita% + de7ada% en una nota o en una #i%ta en e# e%critorio de# u%uario puede %er encontrada + u%ada para prop%ito% ma#icio%o%" 4% recomendado ,ue e# u%uario %e memorice #a contra%ea" 1in embargo3 %i #o% u%uario% emp#ean ma% de una contra%ea en %u% acti-idade% de# d'a a d'a3 e%to puede %er ma% di&'ci# mantener en memoria di&erente% contra%ea%" A#guno% e%tudio% han mo%trado ,ue %i e# u%uario a#macena #a% contra%ea% en un %itio %eguro3 e% me7or para #a %eguridad ,ue e%tar o#-idando #a% contra%ea% con%tantemente + mantener%e pregunt/ndo#e a# admini%trador de %i%tema por e%ta" E Ae5e)(&(e !, +e 0"# C, !r"#eH"# - E%/(r")(* Kientra% ma% tiempo re%ida #a contra%ea en un %i%tema3 e% ma% grande #a po%ibi#idad de ,ue #a contra%ea %ea crac6eada o obtenida por a#guien ,ue no %ea e# propietario de #a contra%ea" Para combatir e%to3 #a %uite de contra%ea %hado! u%ado por #o% %i%tema% GNU/Linu. pro-een #a habi#idad de ,ue #a% contra%ea% e.piren autom/ticamente de%pu5% de cierto tiempo" Para a%egurar #a %eguridad3 #a mi%ma contra%ea no debe de permanecer por ma% de un me% o do% me%e% como m/.imo en e# %i%tema" 4%te e%t/ndar e% recomendado para todo% #o% ni-e#e% de contra%ea%3 %i e% para una cuenta de emai#3 una cuenta de u%uario de %i%tema3 o una contra%ea de root" Cambiando #a contra%ea% ba7an #a% po%ibi#idade% de ,ue e# %i%tema %ea crac6eado" Un programa puede %er tambi5n imp#ementado en e# %i%tema para prohibir#e a un u%uario de ,ue rotara una http //!!!"codigo#ibre"org BB
Antonio Perpian
mi%ma #i%ta de contra%ea%" =ario% programa% GNU pueden %er in%ta#ado% para a#macenar contra%ea% + prohibir#e a #o% u%uario% ,ue e#i7an e%a% contra%ea% ha%ta &i7ar ,ue una cantidad de tiempo ha+a pa%ado3 e.tendi5ndo%e de%de $G %emana% ha%ta cinco ao%" U!(0(!"r(,# +e Segur(+"+ /"r" A+&( (#!r"+,re# Un admini%trador de %i%tema% puede -eri&icar en %u %i%tema por contra%ea% pobre% con e# u%o de programa% di%eado para e%to% &ine%" Para una #i%ta comp#eta de e%to% podemo% -i%itar #a p/gina de 1eguridad 1ectoo#% en http //%ectoo#%"org/crac6er%"htm#3 de%de a,u' podr/ ir a #o% %itio% !eb donde %e de%cargan e%ta% herramienta%" A#guna %on GPL o Libre pero #a ma+or'a %on de #icencia% Pri-ati-a%3 como e# ca%o de 1hare!are + Free!are" 4%to% programa% pueden %er u%ado por un admini%trador de %i%tema% para pro-eer mantenimiento de %u% contra%ea%" 47ecutando e%to% programa% como por e7emp#o Nohn + Un%hado! en e# %i%tema3 un admini%trador de %i%tema% puede -eri&icar ,ue tan %eguro puede %er una contra%ea en un %i%tema + mantener a# m'nimo #a% contra%ea% d5bi#e%" 1in embargo3 u%ar un crac6 de cua#,uier manera en un %i%tema %in #o% permi%o% e.p#'cito% de %u admini%trador e% comp#etamente i#ega# e indebido" L"# Su(!e SG"+,M 4n #o% inicio% de UNiX + #uego de GNU/Linu.3 %hado! era a#macenado + encriptado en e# archi-o /etc/pa%%!d" 4%te m5todo repre%entaba un prob#ema de %eguridad por ,ue e# archi-o /etc/pa%%!d era #egib#e por cua#,uiera con acce%o a# %i%tema" A%'3 #a% contra%ea% pod'an %er de%cargada% + crac6eada% re#ati-amente &/ci#" La tecno#og'a de 1hado! repre%entaba una a#ternati-a para e-itar e%o% prob#ema% de %eguridad" 1hado! a#macena una contra%ea encriptada en un archi-o %ecundario3 e# archi-o /etc/%hado!" 4%te archi-o e% #egib#e %o#o por cierto% programa% + e# u%uario root3 a%' ,ue no ha+ chance para ,ue #a% contra%ea% %ean obtenida i#'citamente" E !e +(e +, e0 Ar)G(A, /e!)/#G"+,M Por ,ue e# archi-o principa# u%ado e% e# archi-o /etc/%hado!3 una cuidado%a e.p#icacin de e%e archi-o %era nece%itada" Cada #inea (o entrada* en e# archi-o u%a un &ormato de cierto% campo% %eparado% por co#umna%" Una #inea de e7emp#o de# archi-o /etc/%hado! e% mo%trado a continuacion u%er 9AeONL $GGH? G ?G A $ 4%o% di&erente% campo% %on e.p#icado% a continuacin
N,&4re +e0 Ar)G(A, Nombre de# u%uario Contra%ea D'a% de%de G$/G$/$OAG Puede %er Cambiada Debe de %er Cambiada D'a% de ad-ertencia% D'a% De%habi#itado De%habi#itado de%de E5e&/0, aperpinan De#)r(/)(* 4# nombre ,ue uti#i0a e# u%uario para ingre%ar a# %i%tema"
P9AeONL""" La contra%ea encriptada (Y indica ,ue e# u%uario e%ta de%habi#itado*" " $GGH? G ?G A $ N2mero% de d'a% de%de ,ue #a contra%ea ,ue #a contra%ea &ue cambiada N2mero% de d'a% ante% de ,ue contra%ea pueda %er cambiada (un G indica ,ue #a contra%ea puede %er cambiada cua#,uier momento*" N2mero de d'a% en ,ue #a contra%ea debe de %er cambiada" 4# n2mero de d'a% ,ue un u%uario %er/ ad-ertido ante% de ,ue %u contra%ea e.pire" 4# n2mero de d'a% de%pu5% de ,ue una contra%ea ha+a e.pirado ,ue e# u%uario %era de%habi#itado" N2mero de d'a% de%de $OAG ,ue una cuenta ha %ido de%habi#itada (un e%pacio en b#anco indica una contra%ea acti-a*"
4# u#timo campo e% re%er-ado para un u%o &uturo en e# e-ento de ,ue ma% caracter'%tica% %on agregada%" http //!!!"codigo#ibre"org BO
Antonio Perpian
U!(0(6" +, 0"# U!(0(+"+e# +e 0" Su(!e SG"+,M Lo% %i%tema% GNU/Linu. todo% -ienen con 1hado! +a in%ta#ado3 habi#itado + en u%o" 4n e%ta %eccin no% concentraremo% en di%cutir a#guno% de #o% comando% ,ue u%amo% para manipu#ar #o% u%uario% + ,ue a&ectan #o% archi-o% pa%%!d + %hado!3 aun,ue tambi5n a&ectan a group + g%hado! ,ue e% e# archi-o de contra%ea encriptada de #o% grupo%" u#er"++ 4# comando u%eradd puede %er u%ado para agregar u%uario% a# %i%tema" 4%te comando puede tambi5n %er u%ado para con&igurar por de&ecto un %i%tema cuando un nue-o u%uario e% agregado" Por e7emp#o3 e%cribiendo Lu%eradd >DM %e mo%trar/ #a con&iguracin por de&ecto de #o% grupo% de u%uario%3 directorio home3 tiempo de e.piracin (en d'a%*3 + e# %he##" Para cambiar #a con&iguracin de# archi-o (/etc/de&au#t/u%eradd* a otra por de&ecto3 u%e #a% %iguiente% opcione% >g 4# ID de# grupo por de&ecto >d Directorio home >e n2mero de d'a% de%pu5% de #a creacin de una cuenta ,ue #a contra%ea -a a e.pirar" >& 1i %e de%habi#it una cuenta %i una contra%ea e.piro ($ o G*" >% 4%peci&icando #a %he## por de&ecto" 4n e%te e7emp#o3 e# grupo por de&ecto %era cambiado a un ID de grupo ;GG3 $J d'a% de periodo de e.piracin3 no %e de%habi#itar/ #a cuenta de%pu5% de ,ue #a contra%ea e.pira + una %he## por de&ecto /bin/ba%h Q u#er"++ $D $g @77 $# /4( /4"#G $' 7 $e 1J /"##M+ 4# comando pa%%!d e% principa#mente e% u%ado para cambiar #a contra%ea de #o% u%uario% pero tambi5n e% u%ado para con&igurar opcione% e%peci&ica% de contra%ea%3 #a% cua#e% %on #a% mo%trada% a continuacin ># :#o,uea una cuenta de u%uario" >u De%b#o,uea una cuenta de u%uario%" >n Fi7a e# n2mero m'nimo de d'a% ante% de ,ue una contra%ea %ea cambiada" >. Fi7a e# n2mero de d'a% ante% de ,ue #a contra%ea e.pire" >! Fi7a e# d'a ante% de #a e.piracin de #a contra%ea una ad-ertencia ,ue %era en-iada a# u%uario" >i Fi7a e# d'a de%pu5% de ,ue #a contra%ea e.piro en ,ue #a cuenta e% b#o,ueada" >% Kue%tra #a in&ormacin de #a% contra%ea% en un &ormato conci%o" A%'3 para con&igurar #a contra%ea de# u%uario antonio ,ue e.pire en $G d'a%3 uti#ice #a %iguiente %inta.i% Q /"##M+ $%17 " !, (, u#er&,+ 4# comando u%ermod %igue #a% mi%ma% %inta.i% + opcione% ,ue e# comando u%eradd + e% uti#i0ado para modi&icar #a% cuenta% de u%uario% +a e.i%tente%" Podemo% cambiar #o% u%uario% de grupo3 agregar#o% a otro%3 e.pirar cuenta%3 etc" u#er+e0 4%te comando puede %er u%ado para e#iminar #a cuenta de un u%uario" Uti#i0ando #a opcin >r %e e#iminar/ tanto e# u%uario3 como %u directorio home3 como tambi5n toda #a in&ormacin ,ue %e encuentre a#macenada en #o% archi-o% /etc/pa%%!d + /etc/%hado!" http //!!!"codigo#ibre"org OG
Antonio Perpian
E0 Ar)G(A, /e!)/0,g( I+e'# 4# archi-o /etc/#ogin"de&% contiene #a con&iguracin de# programa /etc/#ogin a%' como #a con&iguracin de #o% programa% de #a 1uite 1hado!" 4# -a#or por de&ecto para #a% cuenta% con re%pecto a #a #ongitud de #a contra%ea3 #o% d'a% m/.imo% ante% de ,ue #a contra%ea deba de %er cambiada3 + e# m'nimo de d'a% entre #o% cambio% de contra%ea% e%t/n ubicado% en e%te importante archi-o de con&iguracin" Lo% -a#ore% m/.imo% + m'nimo% de# ID de #o% u%uario% + grupo% %on tambi5n e%peci&icado% en e# archi-o /etc/#ogin"de&%" A# igua# ,ue todo% #o% archi-o% de con&iguracin de# %i%tema GNU e%te archi-o puede %er editado con cua#,uier editor de te.to para con&igurar e# comportamiento de #a% contra%ea de %u %i%tema + #a% cuenta% por de&ecto" Pr,40e&"# +e Segur(+"+ ), 0" Su(!e SG"+,M 4# e# pa%ado #a 1uite 1hado! ha tenido prob#ema% de %eguridad" Un e7emp#o a#guna% de e%ta% prob#em/tica% de %eguridad in-o#ucraban #a -er%in ?"?"$ de# #a 1uite 1hado!" 4%ta -er%in ten'a en bug ,ue en ,ue no e%ta pro-i%ta de un uti#itario para /etc/#ogin ,ue -eri&icara #a #ongitud de #o% nombre% ingre%ado% en e# #ogin de# %i%tema (e# #ogin name*" 1i e# #ogin name digitado era mu+ #argo3 cau%aba un de%bordamiento en e# bu&&er3 po%ib#emente + e%to pudie%e corrompiendo e# %i%tema debido a #a manera en ,ue e# %i%tema tenia ,ue %er apagado de manera incorrecta" Otro prob#ema %urg'a a tra-5% de #a po%ibi#idad de ,ue un intru%o pudiera ganar acce%o a #a cuenta de root a tra-5% de e%te bug + de%arro##ar programa% ,ue atacar/n e%ta% #ibrer'a% ,ue &ueron codi&icada% para de%arro##ar e# 1uite 1hado!" Un %egundo bug ,ue ha %ido de%cubierto permite ,ue #a ba%e %ea de%cargada matando e# programa /etc/#ogin mientra% e%te e%ta en proce%o" Otro bug% ha %ido encontrado para cierta% -er%ione% de #a 1uite 1hado!3 por #o tanto3 e% importante de%cargar3 in%ta#ar + actua#i0ar a #a nue-a -er%in de #a 1uite 1hado! a menudo" CRACN Para poder entender me7or #a nece%idad de %eguridad de un computador o de# %i%tema3 por #o genera# e% una buena idea e%tudiar e# prob#ema de%de e# punto de -i%ta de un crac6er" Pretendiendo ,ue u%ted e%ta intentando entrar a #a &uer0a a un %i%tema3 #e mo%trar/ #a% debi#idade% + &a##a% de %u %i%tema computaciona#" Un crac6 e% un programa ,ue e% uti#i0ado por un intru%o para a%i%tir#o a atacar #a% debi#idade% pre%ente% en %u %i%tema o parte de e%te digamo% en #a% contra%ea% de un %i%tema" :Bu; e# u Cr")D1 4# crac6 e% un programa de%arro##ado para atacar debi#idade% de #o% %i%tema% + ,ue e% uti#i0ado por un intru%o" Lo ,ue hace ,ue un programa en -e0 de %er un hac6 %ea un crac6 e% %o#o ,uien #o u%e + %u% inten%ione%" 1i e# programa e% u%ado para un bien3 entonce% e% un 9AC\ %i e% u%ado para hacer dao entonce% e% un C8AC\" 4.i%te un %in numero de uti#itario% de ap#icacione% di&erente%3 entre e##a% para rede%3 proce%o%3 etc3 ,ue %ir-en para re-i%ar nue%tro% %i%tema% para encontrar &a##a% o -u#nerabi#idade% ,ue otro% intru%o% puedan ,uerer apro-echar" 4n e%ta %eccin %e cubriremo%3 Nohn -er%in AAAA3 e%crito por NNNNNN" 4%te e% un uti#itario di%eado para detectar &a##a% en #a% contra%ea% de %u %i%tema" Para poder amp#iamente entender en #a manera en ,ue Nohn traba7a3 uno debe de entender primero e# %i%tema de contra%ea%" La% m/,uina% e7ecutando %i%tema% GNU/Linu.3 UNiX3 :1D + %u% c#one% en genera# #o% UNiX>Li6e por #o genera# a#macenan %u% contra%ea% en e# archi-o /etc/%hado!" 4# archi-o /etc/%hado! e% donde %e a#macena un ha%h repre%entando #a% contra%ea% +a encriptada%" 4%to in-o#ucra un #ugar donde puede e.i%tir un agu7ero de %eguridad %i de%cuidamo% #o% permi%o% de #o% archi-o% /etc/pa%%!d + /etc/%hado!" La% contra%ea% actua#e% %on a#macenada% en una &orma encriptada para pre-enir#a% de %er reconocida% o http //!!!"codigo#ibre"org O$
Antonio Perpian
ma# emp#eada%" 4n pr/ctica3 cada -e0 ,ue #o% u%uario% ingre%an a# %i%tema + entran %u% contra%ea%3 e# computador encripta #a% contra%ea% + #a compara con #a contra%ea encriptada a#macenada en e# archi-o /etc/%hado!" 1i #a contra%ea encriptada concuerda3 e# computador #e permite acce%o3 %i no3 e# computador #e niega e# acce%o" La% contra%ea% %on encriptada% con un a#goritmo de una %o#a -'a3 %igni&icando ,ue #a contra%ea puede %er encriptada3 pero e% ca%i impo%ib#e de%encriptar una contra%ea" La idea origina# detr/% de# u%o de un a#goritmo de una una %o#a -'a &ue e# de a%egurar #a %eguridad ha%ta %i e# archi-o /etc/%hado! &ue%e e.tra'do o %imp#emente robado" 4n teor'a3 %i un crac6er roba e# archi-o /etc/%hado!3 e%te no podr/ de%encriptar #a% contra%ea%3 + e# archi-o #e %er/ in2ti# a# meno% ,ue no uti#ice un programa como Nohn" Lo% programa% como Nohn u%an una manera po%terior de crac6iar #a% contra%ea%" 4% decir en -e0 de intentar de de%encriptar #a contra%ea3 e%to% programa% #o ,ue hacen e% encriptar una #arga #i%ta de contra%ea% + #uego #a% comparan con #a contra%ea ,ue +a e%ta encriptada" 1i #a% do% contra%ea% encriptada% concuerdan3 e# programa ha de%cubierto #a contra%ea de# u%uario" Aun,ue e%te proce%o puede tomar mucho tiempo3 con &recuencia e%te %o#o toma minuto% ante% de de%cubrir #a contra%ea de# u%uario3 +a ,ue t'picamente3 #o% u%uario% e#igen contra%ea% predecib#e% + d5bi#e% ba%ada% en pa#abra% de diccionario" 4% importante recordar ,ue a medida ,ue #a -e#ocidad de #o% proce%adore% de# computador ,ue u%ted e%te uti#i0ando aumenta3 m/% r/pido podr/ e# programa encontrar #a contra%ea" 4%to% programa% encriptan #arga% #i%ta% de pa#abra%3 ##amada% diccionario%" 4%to% tambi5n modi&ican #a% pa#abra% agreg/ndo#e n2mero% o re-irtiendo e# orden de #a% #etra% de una pa#abra" La% manera% ,ue e%to% programa% 7uegan con e# orden de #a% pa#abra% depende en #a reg#a% &i7ada% en #a con&iguracin de# programa" A menudo3 mucho tipo de diccionario% %on u%ado%" A#guno% de #o% diccionario% ,ue pueden inc#uir%e %on de di&erente idioma3 a#guno% ba%ado% en campo% e%pec'&ico% de# conocimiento como pueden %er diccionario% m5dico%3 de ingenier'a3 ciencia% 7ur'dica%3 etc" 4%to% programa% com2nmente -ienen empa,uetado% con una #i%ta de contra%ea% u%ada% + con una -ariedad de opcione%" Norma#mente no toma mucho tiempo ante% de ,ue e%to% programa% de%cubran #a contra%ea" C, '(gur")(* - U#, La -er%in actua# de Nohn the 8ipper e% #a $"A"?"@" 4%ta puede o %er in%ta#ada por +um o apt>get dependiendo %i e% Debian o Fedora3 aun,ue e# in%ta#ado pre%enta errore% + por e%o decidimo% compi#ar#a a%' ,ue #a podemo% de%cargar de%de %u porta# http //!!!"open!a##"com/7ohn/" 4# comando para de%cargar#o e% Q Mge! G!!/://MMMI,/e M"00I),&/5,G /g/5,G $1IPIEIKI!"rIg6 Origina#mente di%eado para computadore% e7ecutando UNiX3 para in%ta#ar#o hace &a#ta e&ectuar a#guna% con&iguracione% b/%ica% en #o% archi-o% &uente% ,ue hemo% de%cargado en e# pa%o anterior" Luego debemo% de%comprimir e# archi-o comprimido ,ue de%cargamo% con e# !get + no% cambiamo% a# directorio ,ue e%te no% crea autom/ticamente a%' Q !"r $6%A' 5,G $1IPIKI@I!"rIg6 Q )+ 5,G $1IPIKI@/#r) Para ,ue no% compi#e bien en GNU/Linu. debemo% editar e# archi-o Ka6e&i#e en 7ohn>$"A"?"@/%rc + co#ocar e# #a #inea ,ue dice LDFLAG1 X >% + agregar#e >#cr+pt para ,ue #ea comp#eta LD2LAGS ] $# $0)r-/!I A# &ina# de# archi-o Ka6e&i#e agregamo% e%ta #'nea% a%' http //!!!"codigo#ibre"org O;
Antonio Perpian u (.ueI, ^ )r-/!R'&!I, Fina#mente agregamo% e%ta% do% #'nea% a# archi-o 7ohn"c e%!er #!ru)! '&!R&"( '&!R)r-/!_ 5,G Rreg(#!erR, e>`'&!R)r-/!?_
Ahora podemo% +a empe0ar a compi#ar3 a di&erencia de mucho% programa% de GNU/Linu. ,ue compi#amo% a,u' no ha+ e# tradiciona# "/con&igure %ino ,ue -amo% directo a# ma6e + #o hacemo% a%'3 podemo% #eer e# archi-o 84ADK4 en 7ohn/u%r/doc/84ADK4 para -er cua# e% #a opcin ,ue no% con-ienen dependiendo de nue%tra ar,uitectura de# computador3 +a %ea Pentium KKX3 ?; o H@ bit%3 etc Ur,,!X0,)"0G,#! #r)VZ &"De )0e" 0( u%$%OL$##e@ da para poner e# programa a prueba3 entramo% a #a carpeta 7ohn/run donde deben e%tar #o% binario% ,ue con&orman e# programa en e%pecia# 7ohn3 a%' ,ue podemo% primero con-ertir nue%tra% contra%ea% para ,ue 7ohn pueda operar %obre e%ta% + producir %u% contra%ea% ,ue no #a% mo%trar/ en panta##a + co#ocar/ en un archi-o en #a carpeta de con&iguracin ocu#ta "7ohn/pot" A%' ,ue para con-ertir#o con un%hado! + #o guardamo% a un archi-o + #uego corremo% a 7ohn %obre e%te" Ur,,!X0,)"0G,#! ru VZ u #G"+,M /e!)//"##M+ /e!)/#G"+,M Y &($), !r"#e "#I+4 Ur,,!X0,)"0G,#! ru VZ I/5,G &($), !r"#e "#I+4 Para -er contra%ea% +a encontrada% por e# proce%o anterior ,ue no pudo #eer en panta##a o %i &ueron mucha% #a% de%p#egada% puede mo%trar#a% nue-amente con Ur,,!X0,)"0G,#! ru VZ I/5,G $$#G,M Ge er"+,re# +e C, !r"#eH"# - C, !r"#eH"# +e U "$Ve6 >OTP#? 4% un m5todo de autenticacin particu#ar3 e%ta c#a%e de %i%tema de autenticacin e%ta dirigido a pre-enir ra%treo + robo de contra%ea%" Un O)P e% una manera de &orta#ecer un %i%tema de autenticacin" No e% un reemp#a0o a# tradiciona#" 4%te m5todo genera + u%a #a% contra%ea% %o#o una -e0 + #uego #a% e#imina de%pu5% de# u%o" 4n dicho %i%tema3 e# %er-idor a#macena o genera una #i%ta predeterminada de contra%ea%3 #a cua#e% un u%uario #uego u%a" Como #a% contra%ea% %on u%ada% %o#o una -e03 un crac6er ,ue decodi&i,ue cua#,uier contra%ea dada no tiene #a oportunidad de entrar + reuti#i0ar#a +a ,ue -enci de inmediato + &ue u%ada por e# u%uario dueo" Lo% 1er-idore% de #o% Pro-eedore% de 1er-icio% de Internet (I1P* a menudo generan O)P3 como hacen #a% organi0acione% ,ue emp#ean unidad de -endedore% ,ue -ia7an + emp#ean u%uario% ,ue traba7an remotamente" Compu1er-e toma un e%t/ndar de# m5todo de contra%ea tradiciona# + #o aumenta a e%te con un O)P" Cuando #o% u%uario% ingre%an a# %i%tema de Compu1er-e3 e##o% en-'an una contra%ea ,ue e%ta como e% norma# a%ociada con %u cuenta pero %e #e agregan #o% minuto% actua#e% + #a cone.in e% hecha entre e%te %er-idor + e# u%uario" 4%ta combinacin de #a contra%ea e%t/ndar de# u%uario ma% e# tiempo en ,ue e%te ingre%e #uego e% en-iado a# Compu1er-e para autenticacin" 1i un Crac6er roba%e + de%ci&ra e%ta contra%ea3 e%ta %er'a in2ti# por,ue e%ta era -a#ida %o#o por e%e momento (e# momento en ,ue e# u%uario ingre%o a# %i%tema*3 + %o#o pudo %er u%ada en e% momento" 4%te m5todo no reemp#a0a e# %i%tema tradiciona# de contra%ea ,ue conocemo% %ino ,ue agrega otra capa de proteccin" Podemo% #eer ma% %obre O)P en e# 8FC $O?B" La tecno#ogia crece de &orma tan -ertigino%a ,ue #o% m5todo% + proce%o% una -e0 con%iderado% %eguro hace un poco tiempo atr/% +a ho+ %on ob%o#eto%" La% contra%ea% e%t/tica%3 una -e0 un de #a% &orma% ma% b/%ica% de %eguridad3 no %on #a% 2nica% tomada% en con%ideracin en e# momento de proteger un %i%tema computaciona#" Como un re%u#tado3 #o% nue-o% %i%tema% de contra%ea% han %ido de%arro##ado% para incrementar #a %eguridad de e%to% %i%tema computaciona#e%" http //!!!"codigo#ibre"org O?
Antonio Perpian
Ve !"5"# +e 0,# S(#!e&"# +e C, !r"#eH"# +e u " S,0" Ve6 Uno de #o% m5todo% ma% amp#iamente u%ado% para incrementar #a %eguridad de #o% %i%tema% de contra%ea% e% e# %i%tema e% e# de contra%ea% de una %o#a -e0" Un u%uario puede ganar acce%o a un %i%tema de contra%ea% de una %o#a -e0 por #a entrada de #a contra%ea e%pec'&icamente generado para e%a %eccin" Una -e0 ,ue %a#e de# %i%tema3 #a contra%ea% e% de%cartada + una nue-a contra%ea e% nece%aria para ganar acce%o en #a pr.ima %eccin" S(#!e&" +e C, !r"#eH"# E#!C!(), Lo% %iguiente% procedimiento% de%criben e# u%o de un %i%tema %e contra%ea e%t/tico" 4# u%uario e% preguntado por e# %i%tema de# computador para ,ue e%criba un nombre de u%uario regi%trado u otra &orma de identi&icacin" 4# u%uario #uego ingre%a una contra%ea ,ue %e re#aciona con e# archi-o de contra%ea de# %i%tema" Luego #o% nombre% de u%uario% + contra%ea% %on aceptado%3 + #a% contra%ea% + nombre% de u%uario% ,ue no %e re#acionan %on recha0ado%" 4n e%te %i%tema e%t/tico3 no %e u%an uti#itario% de encriptacin para tran%mitir #a contra%ea de%de #ogin remoto%" La% de%-enta7a de e%te tipo de %i%tema% no %on &/ci#mente aparente como ,ue e# %i%tema tiene e# potencia# de ceder a #o% intento% de un intru%o +a ,ue e%te deber/ %aber e# nombre de# u%uario + #a contra%ea ,ue %e re#acionado con #a cuenta para ganar acce%o a# %i%tema" De%a&ortunadamente3 e%ta in&ormacin no e% tan di&'ci# de obtener como pareciera a primera -i%ta" Un intru%o puede u%ar un -ariado n2mero de m5todo% para obtener e%ta in&ormacin" 4n e%ta pr.ima %eccin di%cutimo% una &orma3 no nece%ariamente #a me7or o #a ma% u%ada3 pero a# &in #a idea e% demo%trar por #o meno% una debi#idad" Cr")D(" +, u S(#!e&" +e C, !r"#eH" E#!C!(), 4# programa Nohn the 8ipper ,ue mo%tramo% anteriormente u%a un diccionario como ba%e de dato% + entra cada pa#abra + permutacione% de e%ta pa#abra como po%ib#e contra%ea%" Programa% como e%te a menudo con%iguen #a% contra%ea% + %on &/ci#e% de obtener en e# Internet" Un programa de hu%mear en #a% rede%3 ta# como e% 1ni&&it3 tambi5n puede %er u%ado para robar contra%ea%" 1ni&&it monitorea un %!itch3 hub o LAN comp#eta + mo%trar/ #a in&ormacin ,ue pa%e entre e%o% computadore% conectado% por e%te" Cada -e0 ,ue un u%uario ingre%a en e# %i%tema3 %u% nombre% de u%uario% + contra%ea% %on mo%trada% en te.to p#anoI #o% programa% de %ni&&ing pueden &/ci#mente obtener e%a% contra%ea% cuando #o% pa,uete% ,ue #a% tran%portan pa%an a tra-5% de #a red" 9a+ m5todo% meno% t5cnico% de robar contra%ea%" Una contra%ea e%crita en pape#3 bande7a de e%critorio para %er recordada con &aci#idad puede caer &/ci#mente en mano% de per%ona% no de%eada%" Lo% u%uario% ,ue ingre%an a %i%tema% en ambiente de traba7o re#ati-amente p2b#ico%3 como o&icina% gubernamenta#e% o banco%3 por e7emp#o3 pueden %er ob%er-ada% mientra% e%to% e%t/n entrando %u #ogin + contra%ea" Lo% intru%o% pueden tambi5n programa% como mo%tramo% a,u' para romper contra%ea% ,ue %on mu+ %imp#e3 como #a% ba%ada% en #o% nombre% de #o% u%uario%3 cargo%3 &echa% de cump#eao%3 etc" S/Ne1/\e+ e% con%iderado como e# precur%or de# %i%tema de contra%ea% de una %o#a -e0" 1/\e+ &ue de%arro##ado por :e## Communication% 8e%earch (:e##core* en $OO@" De%de entonce%3 :e##core %e tran%&ormo en )e#cordia )echno#ogie% + ha parado e# de%arro##o + mantenimiento de 1/\e+" Aun,ue 1/\e+ toda-ia %e puede encontrar en u%o3 pero e%te ha% %ido reemp#a0ado por %u %uce%or OPI4"
O@
Antonio Perpian
OPIE De%pu5% de ,ue :e##core detu-iera e# de%arro##o + mantenimiento de 1/\e+3 un nue-o %i%tema de contra%ea% de una %o#a -e0 &ue nece%itado" Como re%u#tado3 #a U"1" Na-a# 8e%earch Laborator+ de%arro##o #ibremente una di%tribucin ##amada One>time Pa%%!ord In 4-er+thing (OPI4*" OPI4 &ue ba%ado en 1/\e+ + e% en parte compatib#e con e# programa origina#" C,&, Tr"4"5" OPIE Un u%uario debe primero e%tab#ecer una cuenta OPI4 de%de una termina# %egura" 4%tab#eciendo una cuenta %egura remotamente no e% recomendado" Lo% u%uario% #uego %on preguntado% ,ue pro-ean una &ra%e3 por #o meno% de $G caractere%3 con %u cuenta" 4%ta &ra%e %era uti#i0ada ma% tarde para generar una contra%ea de una %o#a -e0" Una -e0 una cuenta e% e%tab#ecida3 e# u%uario puede comen0ar a u%ar #a% contra%ea% de una %o#a -e0" Lo% u%uario% ingre%aran a# %i%tema con un nombre de #ogin regu#ar3 + e# computador re%ponder/ con un cdigo de acce%o adiciona#" 4%te con%i%te de un a#goritmo3 ca%i %iempre una %ecuencia de n2mero% ba%ado% en un aparato o tar7eta ,ue contiene do% n2mero% uno en %ecuencia de# $ digamo% a# $GG + otro ,ue &ue generado por #a %emi##a" Cuando e# %i%tema pregunta por e%te e# u%uario re%ponder/" A#guno% u%an numero prede&inido%3 com2nmente en una tar7eta impre%a + otro% %on n2mero% generado% por un %o&t!are en e# computador o un pe,ueo e,uipo ,ue genera n2mero% a#eatorio% ba%ado% en #a &ra%e %ecreta %ometimo% de #o% $G caractere% o ma% con #a contra%ea" 4# u%uario debe tener #a tar7eta o e# %o&t!are e%pec'&ico para e&ectuar e# ca#cu#o para generar una re%pue%ta + e# a#goritmo de re%pue%ta KD@ u%ado debe de %er compatib#e con e# %i%tema 1/\e+" 4% tambi5n importante ,ue e# a#goritmo e%peci&icado en e# reto e% e# mi%mo ,ue e% u%ado por e# ca#cu#o" Un e7emp#o de un u%uario ingre%ando a un %i%tema OPI4 e%ta a continuacin 0,g( : " !, (, ,!/$&+J +(g(!e e0 )*+(g, 1J Re#/, #e: La #inea de %a#ida otp>mdJ cdigo $J e%tar/ impre%o en #a tar7eta o generado por e# e,uipo e% #a %egunda parte de #a contra%ea ,ue #a e%tab#ecer/ para e%ta 2nica oca%in" 1i e% un %o&t!are o aparato ,ue genera #a contra%ea O)P3 4# u%uario debe entrar #a &ra%e inicia# u%ada para e%tab#ecer#a cuenta3 e# n2mero de %ecuencia3 + #a %emi##a dentro de# %o&t!are para iniciar e# ca#cu#o" 4# n2mero de %ecuencia e% un n2mero arbitrario ,ue di%minu+e con%tantemente cada -e0 ,ue e% u%ado" La %emi##a e% #a combinacin de #etra% + n2mero% a# a0ar" Por de&ecto3 #a %emi##a puede %er por e7emp#o #a primera tre% #etra% de# nombre de# ho%t + digamo% %5i% n2mero% a# a0ar" 4%to% e#emento% %on #uego computado% u%ando e# a#goritmo de una %o#a -e0 e%peci&icado en #a pregunta" De%pu5% #o% tre% ingrediente% u%ado%3 e# %o&t!are de ca#cu#o mo%trar/ #a &ra%e de# n2mero de d'gito% programado con%titu+5ndo%e en #a re%pue%ta de #a contra%ea de una %o#a -e0" 4# computador comparar/ #a re%pue%ta con %u propio ca#cu#o + permitir/ o no #a entrada dependiendo %i e##a% coinciden o no" 1i e# u%uario %a#e de# %i%tema + #uego ingre%a a e%te3 e# n2mero de %ecuencia decrecer/ por uno + e# procedimiento tendr/ ,ue repetir%e para generar #a nue-a contra%ea" Otra opcin en OPI4 %on e# comando opie6e+ + opiein&o" Un u%uario puede imprimir una #i%ta de %emi##a% &utura% + una %ecuencia de n2mero% con e%e comando" 4%ta #i%ta e% u%ada para de%arro##ar #a% contra%ea% &utura% en ca%a de ,ue e# u%uario e%tar/ ingre%ando a# %i%tema %in e# ca#cu#o de# %o&t!are" Ve !"5"# +e OPIE http //!!!"codigo#ibre"org OJ
Antonio Perpian
OPI43 hace ,ue #o% ata,ue% pa%i-o% a# %i%tema% pa%en %in e&ecto% ad-er%o%" La% contra%ea% robada% por 1ni&&it no %on de ninguna preocupacin por ,ue e%ta ha e.pirado en e# momento" La% contra%ea% robada% por %imp#e monitoreo tampoco %on importante% por #a mi%ma ra0n" La -enta7a principa# de u%ar OPIe e% ,ue e%ta %iendo %oportada actua#mente" La u#tima -er%in de OPI43 parche% + %o&t!are% de co#aboracin e%t/n di%ponib#e% en http //!!!"inner"net/pub/opie De#Ae !"5"# +e OPIE Ingre%ar a# %i%tema e% un proce%o un poco ma% comp#icado cuando %e u%a e# %i%tema de contra%ea% de una %o#a -e0" Para acce%o remoto3 e% nece%ario tener e# %o&t!are de ca#cu#o de %egunda ##a-e%" 4%to pre-iene a #o% u%uario% de e%tar di%ponib#e% de ingre%o% r/pido% cuando e##o% e#igen" 1in embargo3 #o% u%uario% %on producido% por #a% opcione% de imprimir una #i%ta de contra%ea% de antemano3 #a cua#e% pueden %er &'%icamente ##e-ada% + u%ada% para ingre%ar remotamente a# %i%tema" 4# rie%go a,u' e% e# mi%mo ,ue con #a% contra%ea% e%crita%" La #i%ta puede %er robada3 perdida3 copiada3 conduciendo a una potencia# ingre%o de%autori0ado" Lo% u%uario% pueden a%umir ,ue con #a comp#e7idad de# proce%o de OPI4 e%t/n comp#etamente %eguro" 1in embargo3 e% importante recordar ,ue un intru%o %o#o nece%ita una &ra%e de u%uario para ganar acce%o" 4# re%to de #a in&ormacin3 e% ba%tante &/ci# de obtener" Una -e0 de nue-o3 #a %eguridad de# %i%tema e%ta #imitada por como e# u%uario protege %u &ra%e" Aun,ue3 e% in-ero%'mi# ,ue un intru%o e%te di%ponib#e para crac6ear e# a#goritmo + producir #a% pa#abra% en #a &ra%e3 no e% impo%ib#e3 + con%ecuentemente3 OPI4 como todo% #o% %i%tema% e% -u#nerab#e a un ata,ue" Con e# me7oramiento de #o% proce%adore%3 cada d'a m/% r/pido + me7or tecno#ogia di%ponib#e3 e%a% probabi#idade% continuar/n en aumento a &a-or de# intru%o" M*+u0, +e Au!e !()")(* C, e)!"40e >PAM? 4n e# pa%ado3 #a autenticacin en un %i%tema GNU/Linu. era mane7ado de una manera e%peci&ica para cada programa" Por e7emp#o3 #a -eri&icacin de #a identidad de un u%uario a# momento de ingre%ar a# %i%tema era hecho con #a -eri&icando #a contra%ea dada en contra de #a contra%ea encriptada en e# archi-o /etc/pa%%!d o e# archi-o /etc/%hado!3 %i e# u%o de contra%ea% %hado! ha %ido habi#itado" Otro% %er-icio% ,ue nece%itaban autenticacin3 como %on .%creen%a-er3 %u3 pppd3 + .d3 re,uieren un mecani%mo de autenticacin de# u%uario" Como uno puede imaginar%e3 era di&'ci# de modi&icar e# ni-e# de %eguridad + de %intoni0ar bien e# ni-e# de autenticacin u%ado por e%o% %er-icio% %in recompi#ar #o% programa% indi-idua#e%" Por e%to3 un %i%tema de #ibrer'a%3 &ue de%arro##ado para permitir #a con&iguracin de autenticacin de un programa &uera modi&icado mientra% e# %er-icio e%ta e7ecut/ndo%e3 %in #a nece%idad de recompi#ar cada programa indi-idua#mente" 4%te %i%tema3 e# cua# -iene unido con #a ma+or'a de di%tribucione% de GNU/Linu.3 e% re&erido como P#uggab#e Authentication Kodu#e% (PAK%*" Lo% programa% ,ue o&recen pri-i#egio% a #o% u%uario% deben autenti&icar (-eri&icar #a identidad* adecuadamente de cada u%uario" A# iniciar una %e%in en un %i%tema3 e# u%uario proporciona %u nombre de u%uario + contra%ea + e# procedimiento de inicio de %e%in u%a e# nombre de u%uario + #a contra%ea para -eri&icar %u identidad" Lo% Kdu#o% de Autenticacin Conectab#e% (PAK* permiten ,ue e# admini%trador de %i%tema e%tab#e0ca una po#'tica de autenticacin %in tener ,ue recompi#ar programa% de autenticacin" Con PAK3 %e contro#a3 cmo determinado% mdu#o% de autenticacin %e conectan a un programa editando e# archi-o de con&iguracin PAK de e%e programa en e# directorio /etc/pam"d" http //!!!"codigo#ibre"org OH
Antonio Perpian
Ve !"5"# +e PAM Cuando %e u%a correctamente3 PAK aporta mucha% -enta7a% para un admini%trador de %i%tema3 entre e##a% Un e%,uema de autenticacin com2n ,ue %e puede u%ar con una gran -ariedad de ap#icacione%" Permite gran &#e.ibi#idad + contro# de #a autenti&icacin para e# admini%trador de# %i%tema + e# de%arro##ador de #a ap#icacin" Lo% de%arro##adore% de ap#icacione% no nece%itan de%arro##ar %u programa para u%ar un determinado e%,uema de autenticacin" 4n %u #ugar3 pueden concentrar%e puramente en #o% deta##e% de %u programa" Ar)G(A,# +e C, '(gur")(* PAM 4# directorio /etc/pam"d contiene #o% archi-o% de con&iguracin de PAK" 4n -er%ione% antigua% de PAK %e uti#i0aba /etc/pam"con&" 4# archi-o pam"con& toda-'a %e #ee %i no %e encuentran entrada% /etc/pam"d/3 pero %e de%aprueba %u u%o" Cada ap#icacin (o %er-icio3 como %e conocen com2nmente #a% ap#icacione% pro+ectada% para %er u%ada% por mucho% u%uario%* tiene %u propio archi-o dentro de# directorio /etc/pam"d/" 4%to% archi-o% tienen una pre%entacin e%pec'&ica ,ue contiene ##amada% a #o% mdu#o% habitua#mente #oca#i0ado% en e# directorio /#ib/%ecurit+/" Adiciona#mente3 cada #'nea dentro de un archi-o de con&iguracin PAK debe e%peci&icar un tipo de mdu#o3 una bandera de contro#3 una ruta hacia e# mdu#o3 +3 en oca%ione%3 argumento% de# mdu#o" N,&4re# +e 0,# SerA()(,# e PAM 4# nombre de %er-icio de toda% #a% ap#icacione% habi#itada% para u%ar PAK3 e% e# nombre de %u archi-o de con&iguracin en /etc/pam"d" Cada programa ,ue u%a PAK de&ine %u propio nombre de %er-icio3 e in%ta#a e# archi-o de con&iguracin PAK en e# directorio /etc/pam"d" Por e7emp#o3 e# programa #ogin de&ine e# nombre de# %er-icio como /etc/pam"d/#ogin" Genera#mente3 e# nombre de# %er-icio e% e# nombre de# programa u%ado para obtener acce%o a# %er-icio3 no nece%ariamente e# de# programa u%ado para proporcionar e# %er-icio" 4%te e% e# moti-o por e# ,ue e# %er-icio !u> &tpd de&ine %u nombre de %er-icio como /etc/pam"d/&tp" La% pr.ima% cuatro %eccione% de%criben e# &ormato b/%ico de #o% archi-o% de con&iguracin de PAK + mo%trar/n cmo u%an #o% mdu#o% PAK para e7ecutar #a autenti&icacin para #a% ap#icacione% ,ue %oportan PAK" M*+u0,# PAM 4.i%ten cuatro tipo% de mdu#o% PAK u%ado% para contro#ar e# acce%o a #o% %er-icio%" 4%to% tipo% e%tab#ecen una corre#acin entre #o% di&erente% a%pecto% de# proce%o de autori0acin
"u!G ")),u ! Proporcionan #a autenticacin en %' (ta# -e0 pidiendo + contro#ando una contra%ea* + e%tab#ecen #a% credencia#e%3 como #a a&i#iacin de grupo o #o% bi##ete% de \erbero%" Contro#an ,ue #a autenticacin %ea permitida (,ue #a cuenta no ha+a caducado3 ,ue e# u%uario tenga permi%o de iniciar %e%ione% a e%a hora de# d'a3 etc"*" 1e u%an para e%tab#ecer contra%ea%" 1e u%an de%pu5% de ,ue un u%uario ha %ido autenti&icado" Lo% mdu#o% de %e%%ion permiten ,ue a#guien u%e %u cuenta (para armar e# directorio de inicio de# u%uario o poner a di%po%icin %u bu0n e#ectrnico3 por e7emp#o*"
/"##M,r+ Se##(,
OA
Antonio Perpian
Un mdu#o indi-idua# puede direccionar m/% de uno de #o% tipo% de mdu#o% mencionado% anteriormente" Por e7emp#o3 pamguni."%o tiene componente% ,ue direccionan #o% cuatro" 4n un archi-o de con&iguracin PAK3 e# tipo de mdu#o e% e# primer a%pecto a de&inir" Por e7emp#o3 una #'nea t'pica de en una con&iguracin %er'a "u!G re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, 4%to pro-oca ,ue PAK ob%er-e e# componente auth de# mdu#o pamguni."%o" A/(0"r &*+u0,# 4%to% mdu#o% %e pueden api#ar3 o co#ocar uno %obre otro para ,ue %e puedan u%ar #o% mdu#o% m2#tip#e%" 4# orden de una pi#a de mdu#o% e% mu+ importante en e# procedimiento de autenticacin3 por,ue &aci#ita mucho e# traba7o de un admini%trador e# re,uerir ,ue e.i%tan -aria% condicione% ante% de permitir ,ue %e ##e-e a cabo #a autenticacin de# u%uario" 4# hecho de api#ar#o% hace ,ue %ea m/% &/ci# para e# admini%trador e.igir di-er%a% condicione% ante% de permitir #a autenti&icacin de# u%uario" Por e7emp#o3 r#ogin norma#mente u%a cinco mdu#o% auth3 como %e puede -er en e# archi-o de con&iguracin de PAK "u!G re.u(re+ /0(4/#e)ur(!-//"&R ,0,g( I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&Re AI#, "u!G #u''()(e ! /0(4/#e)ur(!-//"&RrG,#!#R"u!GI#, "u!G re.u(re+ /0(4/#e)ur(!-//"&R#!")DI#, #erA()e]#-#!e&$"u!G Ante% de ,ue a a#guien %e #e permita ##e-ar a cabo e# r#ogin3 PAK -eri&ica ,ue e# archi-o /etc/no#ogin no e.i%ta3 ,ue no e%t5 intentando iniciar una %e%in en modo remoto como root + ,ue %e pueda cargar cua#,uier -ariab#e de entorno" 4ntonce% %e ##e-a a cabo una autenticacin rho%t% e.ito%a ante% ,ue %e permita #a cone.in" 1i &a##a #a autenticacin rho%t%3 entonce% %e ##e-a a cabo una autenticacin de contra%ea e%t/ndar" Cre")(* +e M*+u0,# 1e pueden aadir mdu#o% PAK nue-o% en cua#,uier momento + de%pu5% %e pueden crear ap#icacione% ,ue %e puedan u%ar con #o% mdu#o% de PAK" 1i por e7emp#o u%ted crea un m5todo de creacin de contra%ea% para u%ar%e una %o#a -e0 + e%cribe un mdu#o PAK ,ue #o %oporte3 #o% programa% con%ciente% de PAK pueden u%ar e# mdu#o nue-o + e# m5todo para contra%ea% inmediatamente %in tener ,ue %er recompi#ado% o modi&icado%" Como podr/ imaginar3 e%to e% mu+ po%iti-o3 por,ue #e permite combinar + empare7ar3 adem/% de probar3 #o% m5todo% de autenticacin mu+ r/pidamente con programa% di&erente% %in tener ,ue recompi#ar #o% programa%" La documentacin %obre #a e%critura de mdu#o% contenida en e# %i%tema %e encuentra en e# directorio /u%r/%hare/doc/pamhn2mero>de>-er%inc" L,# ( +()"+,re# +e ), !r,0 PAM )odo% #o% mdu#o% PAK generan un re%u#tado de 5.ito o &raca%o cuando %e #e% hace un contro#" Lo% indicadore% de contro# #e dicen a PAK ,u5 hacer con e# re%u#tado" Como #o% mdu#o% pueden api#ar%e en un determinado orden3 #o% indicadore% de contro# #e dan #a po%ibi#idad de &i7ar #a importancia de un mdu#o con re%pecto a #o% mdu#o% ,ue #o %iguen" Una -e0 m/%3 con%idere e# archi-o de con&iguracin PAK r#ogin "u!G re.u(re+ /0(4/#e)ur(!-//"&R ,0,g( I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, http //!!!"codigo#ibre"org OB
Antonio Perpian "u!G "u!G "u!G
re.u(re+ /0(4/#e)ur(!-//"&Re AI#, #u''()(e ! /0(4/#e)ur(!-//"&RrG,#!#R"u!GI#, re.u(re+ /0(4/#e)ur(!-//"&R#!")DI#, #erA()e]#-#!e&$"u!G
4# orden en e# ,ue %e nombran #o% mdu#o% re,uired no e% cr'tico" Lo% indicadore% hacen ,ue e# orden %ea importante" Con%u#te m/% aba7o para una e.p#icacin de cada tipo de indicador" De%pu5% de ,ue %e e%peci&i,ue e# tipo de mdu#o3 #o% indicadore% de contro# deciden #a importancia con #a ,ue deber'a %er con%iderado e%e determinado tipo de mdu#o en cuanto a# prop%ito genera# de permitir#e a e%e u%uario e# acce%o a e%e programa" 4# e%t/ndar PAK de&ine cuatro tipo% de indicadore% de contro# Lo% mdu#o% re,uired indicado% deben %er contro#ado% con 5.ito para ,ue %e permita #a autenticacin" 1i &raca%a e# contro# de un mdu#o re,uired3 e# u%uario no recibir/ un a-i%o ha%ta ,ue no ha+an %ido contro#ado% #o% dem/% mdu#o% de# mi%mo tipo" Lo% mdu#o% re,ui%ite indicado% tambi5n deben %er contro#ado% con 5.ito para ,ue #a autenticacin %ea e.ito%a" 1in embargo3 %i &raca%a un contro# de mdu#o re,ui%ite3 e# u%uario recibe un a-i%o inmediatamente con un men%a7e ,ue re&#e7a e# primer mdu#o re,uired o re,ui%ite &raca%ado" 1i &raca%an #o% contro#e% a mdu#o% %u&&icient indicado%3 %e ignoran" Pero %i un mdu#o %u&&icient indicado pa%a e# contro# con 5.ito + ning2n mdu#o re,uired indicado ante% de e%e ha &raca%ado3 entonce% ning2n otro mdu#o de e%te tipo %e contro#ar/ + e# u%uario %er/ autenticado" Lo% mdu#o% opciona#e% indicado% no %on e%encia#e% para e# 5.ito o &raca%o genera# de #a autenticacin para e%e tipo de mdu#o" De%empean un pape# %#o cuando ning2n otro mdu#o de e%e tipo ha tenido 5.ito o ha &a##ado" 4n e%te ca%o e# 5.ito o &raca%o de un mdu#o optiona# indicado determina #a autenticacin genera# PAK para e%e tipo de mdu#o" da e%t/ a di%po%icin para PAK una %inta.i% de indicador de contro# m/% nue-a ,ue permite m/% contro#" Con%u#te #a documentacin de PAK ubicada en /u%r/%hare/doc/pamhn2mero>de>-er%inc para obtener m/% in&ormacin %obre e%ta %inta.i% nue-a" Ru!"# +e &*+u0,# PAM La% ruta% de #o% mdu#o% #e indican a PAK dnde encontrar e# mdu#o conectab#e ,ue ha+ ,ue u%ar con e# tipo de mdu#o e%peci&icado" Genera#mente3 %e proporciona como una ruta entera de mdu#o3 como /#ib/%ecurit+/pamg%tac6"%o" 1in embargo3 %i no %e proporciona #a ruta entera (o %ea ,ue #a ruta no inicia con /*3 entonce% %e %upone ,ue e# mdu#o indicado e%t/ en /#ib/%ecurit+3 ,ue e% #a ubicacin por de&ecto para #o% mdu#o% PAK" Argu&e !,# PAM PAK uti#i0a argumento% para tran%mitir in&ormacin a un mdu#o conectab#e durante #a autenticacin para e%e determinado tipo de mdu#o" 4%to% argumento% permiten ,ue #o% archi-o% de con&iguracin PAK para determinado% programa% uti#icen un mdu#o PAK com2n pero en manera% di&erente%" Por e7emp#o3 e# mdu#o pamgu%erdb"%o uti#i0a #o% %ecreto% a#macenado% en un archi-o :er6e#e+ D: para autenti&icar a# u%uario" (:er6e#e+ D: e% un %i%tema de ba%e de dato% de cdigo #ibre pro+ectado para %er incru%tado en mucha% ap#icacione% para ra%trear determinado% tipo% de in&ormacin"* 4# mdu#o toma un argumento db3 e%peci&icando e# nombre de archi-o :er6e#e+ D: ,ue ha+ ,ue u%ar3 e# cua# puede -ariar %eg2n e# %er-icio" http //!!!"codigo#ibre"org OO
Antonio Perpian
La #'nea pamgu%erdb"%o en un archi-o de con&iguracin PAK %er'a m/% o meno% a%' "u!G re.u(re+ /0(4/#e)ur(!-//"&Ru#er+4I#, +4]/"!G/!,/'(0e Lo% argumento% in-/#ido% %e ignoran + no a&ectan en ning2n modo e# 5.ito o &raca%o de# mdu#o PAK" Cuando pa%a un argumento in-/#ido3 e# error norma#mente %e e%cribe en /-ar/#og/me%%age%" 1in embargo3 como e# m5todo de in&orme e%t/ contro#ado por e# mdu#o PAK3 depende de# mdu#o regi%trar e# error correctamente" Mue#!r"# +e "r)G(A,# +e ), '(gur")(* PAM A continuacin una mue%tra de archi-o de con&iguracin de #a ap#icacin PAK Z8PAM$1I7 "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, #G"+,M u00,D "u!G re.u(re+ /0(4/#e)ur(!-//"&R ,0,g( I#, ")),u ! re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, /"##M,r+ re.u(re+ /0(4/#e)ur(!-//"&R)r")D0(4I#, re!r-]E /"##M,r+ re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, #G"+,M u00,D u#eR"u!G!,D #e##(, re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, La primera #'nea e% un comentario como toda #'nea ,ue inicie con e# car/cter W " La% #'nea% do%3 tre% + cuatro api#an tre% mdu#o% a u%ar para autenti&icacione% de inicio de %e%in" "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, La %egunda #'nea %e a%egura de %i e# u%uario e%t/ intentando e# regi%tro como root3 e# tt+ en e# ,ue %e e%t/n regi%trando e%t/ #i%tado en e# archi-o /etc/%ecurett+3 %i 5%te e.i%te" "u!G re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, u00,D 4%ta #'nea pro-oca ,ue %e #e e.i7a una contra%ea a# u%uario + comprueba #a contra%ea mediante e# u%o de #a in&ormacin a#macenada en /etc/pa%%!d +3 de e.i%tir3 /etc/%hado!" 4# mdu#o pamguni."%o detecta de &orma autom/tica + u%a #a% contra%ea% %hado! a#macenada% en /etc/%hado! para autenti&icar #o% u%uario%" 4# argumento nu##o6 pro-oca ,ue e# mdu#o pamguni."%o permita una contra%ea en b#anco" "u!G re.u(re+ /0(4/#e)ur(!-//"&R ,0,g( I#, 4%te e% e# 2#timo pa%o de autenti&icacin" Contro#a %i e# archi-o /etc/no#ogin e.i%te" 1i e.i%te no#ogin + e# u%uario no e% root3 #a autenti&icacin no &uncionar/" Note ,ue %e contro#an #o% tre% mdu#o% auth3 no importa %i &a##a e# primer mdu#o auth" 4%ta e%trategia no permite ,ue e# u%uario %e d5 cuenta de por ,u5 no %e ha permitido %u autenticacin" Dicha in&ormacin en mano% de un atacador no podr'a permitir ,ue %a,uearan e# %i%tema" ")),u ! re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, 4%ta #'nea con##e-a #a -eri&icacin de #a cuenta" Por e7emp#o3 %i #a% contra%ea% %hado! han %ido habi#itada%3 e# componente de #a cuenta de# mdu#o pamguni."%o comprobar/ %i #a cuenta ha e.pirado o %i e# u%uario no ha cambiado %u% contra%ea% dentro de# per'odo permitido" /"##M,r+ re.u(re+ /0(4/#e)ur(!-//"&R)r")D0(4I#, re!r-]E 1i una contra%ea ha e.pirado3 e# componente de #a contra%ea de# mdu#o pamgcrac6#ib"%o #e pedir/ una http //!!!"codigo#ibre"org $GG
Antonio Perpian
nue-a contra%ea" Pruebe #a contra%ea de nue-a creacin para -er %i 5%ta puede %er &/ci#mente determinada por un programa ,ue de%cubre #a% contra%ea% de diccionario" 1i &a##a dicha prueba #a primera -e03 e# u%uario recibe do% oportunidade% m/% para crear una contra%ea m/% robu%ta debido a# argumento retr+X?" /"##M,r+ re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, #G"+,M u00,D u#eR"u!G!,D 4%ta #'nea e%peci&ica ,ue %i e# programa cambia #a contra%ea de# u%uario3 5%te deber'a u%ar e# componente pa%%!ord de# mdu#o pamguni."%o para rea#i0ar#o" 4%to %uceder/ tan %#o %i #a porcin auth de# mdu#o pamguni."%o ha determinado ,ue #a contra%ea nece%ita %er cambiada m por e7emp#o3 %i una contra%ea %hado! ha e.pirado" 4# argumento %hado! hace ,ue e# mdu#o cree contra%ea% %hado! cuando %e actua#i0a #a contra%ea de# u%uario" 4# argumento nu##o6 indica a# mdu#o ,ue permita a# u%uario cambiar %u contra%ea de%de una contra%ea en b#anco3 de #o contrario %e crea una contra%ea -ac'a como b#o,ueo de cuenta" 4# argumento &ina# de e%ta #'nea u%egauthto6 proporciona un buen e7emp#o de cmo %e pueden api#ar #o% mdu#o% PAK" 4%te argumento ad-ierte a# mdu#o a no indicar a# u%uario una nue-a contra%ea" 4n %u #ugar %e acepta cua#,uier contra%ea ,ue pa%e a tra-5% de mdu#o% de contra%ea anteriore%" De e%te modo toda% #a% contra%ea% nue-a% deben pa%ar e# te%t pamgcrac6#ib"%o para contra%ea% %egura% ante% de ,ue %ean aceptada%" #e##(, re.u(re+ /0(4/#e)ur(!-//"&Ru (%I#, La 2#tima #'nea e%peci&ica ,ue e# componente de #a %e%in de# mdu#o pamguni."%o ge%tionar/ #a %e%in" 4%te mdu#o regi%tra e# nombre de u%uario + e# tipo de %er-icio para /-ar/#og/me%%age% a# inicio + a# &ina# de cada %e%in" Puede %er %up#ementado api#/ndo#o con otro% mdu#o% de %e%in %i nece%ita m/% &unciona#idad" 4# %iguiente e7emp#o re-i%ar/ #a con&iguracin auth para r#ogin Z8PAM$1I7 "u!G re.u(re+ /0(4/#e)ur(!-//"&R ,0,g( I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, "u!G re.u(re+ /0(4/#e)ur(!-//"&Re AI#, "u!G #u''()(e ! /0(4/#e)ur(!-//"&RrG,#!#R"u!GI#, "u!G re.u(re+ /0(4/#e)ur(!-//"&R#!")DI#, #erA()e]#-#!e&$"u!G 4n primer #ugar3 pamgno#ogin"%o comprueba %i /etc/no#ogin e.i%te" 1i #o hace3 nadie %e podr/ regi%trar %a#-o root" "u!G re.u(re+ /0(4/#e)ur(!-//"&R#e)ure!!-I#, 4# mdu#o pamg%ecurett+"%o e-ita ,ue e# regi%tro de root %e produ0ca en termina#e% in%egura%" 4%to niega e# permi%o a todo% #o% intento% de r#ogin de root por moti-o% de %eguridad" 1i nece%ita regi%trar%e como root3 uti#ice en %u #ugar Open119" "u!G re.u(re+ /0(4/#e)ur(!-//"&Re AI#, 4# mdu#o carga #a% -ariab#e de entorno e%peci&icada% en /etc/%ecurit+/pamgen-"con&" "u!G #u''()(e ! /0(4/#e)ur(!-//"&RrG,#!#R"u!GI#, Lo% mdu#o% pamgrho%t%gauth"%o autenti&ican a# u%uario mediante e# u%o de "rho%t% en e# directorio principa# http //!!!"codigo#ibre"org $G$
Antonio Perpian
de# u%uario (e# home de# u%uario*" 1i e%to %ucede3 PAK autenti&ica inmediatamente #a %e%in r#ogin" 1i pamgrho%t%gauth"%o no puede autenti&icar a# u%uario3 %e ignorar/ e%te intento de autenti&icacin" "u!G re.u(re+ /0(4/#e)ur(!-//"&R#!")DI#, #erA()e]#-#!e&$"u!G 1i &a##a e# mdu#o pamgrho%t%gauth"%o para autenti&icar e# u%uario3 e# mdu#o pamg%tac6"%o e7ecuta #a autenti&icacin de #a contra%ea de &orma norma#" 4# argumento %er-iceX%+%tem>auth %igni&ica ,ue e# u%uario deber/ pa%ar a tra-5% de #a con&iguracin de PAK para #a autori0acin de# %i%tema encontrado en /etc/pam"d/%+%tem>auth" 1i no de%ea ,ue %e pida #a contra%ea cuando e# contro# %ecurett+ &raca%a + determina ,ue e# u%uario e%t/ intentando iniciar una %e%in a ni-e# de root en modo remoto3 puede cambiar e# mdu#o pamg%ecurett+"%o de re,uired a re,ui%ite" PAM - Pr,/(e+"+ +e0 D(#/,#(!(A, Cuando un u%uario %e regi%tra en una m/,uina en GNU/Linu.3 e# mdu#o pamgcon%o#e"%o ad,uiere e# nombre de #ogin o de# programa gr/&ico gdm" 1i e%te u%uario e% e# primer u%uario en regi%trar%e en #a con%o#a &'%ica de# u%uario ##amada con%o#e u%er3 e# mdu#o concede #a propiedad de una -ariedad de di%po%iti-o% ,ue norma#mente po%ee root" 4# u%uario de #a con%o#a po%ee e%to% di%po%iti-o% ha%ta ,ue #a 2#tima %e%in #oca# para e%e u%uario &ina#i0a" Una -e0 ,ue e# u%uario %e ha de%conectado3 #a propiedad de #o% di%po%iti-o% -ue#-e a #o% -a#ore% por de&ecto" Lo% di%po%iti-o% a&ectado% inc#u+en3 pero no %on #imitado%3 #a% tar7eta% de %onido3 #a% unidade% de di%co + #a% unidade% de CD>8OK" 4%to permite ,ue e# u%uario #oca# manipu#e e%to% di%po%iti-o% %in ##egar a root3 de manera ,ue %e %imp#i&ican #a% tarea% comune% para e# u%uario de #a con%o#a" Puede modi&icar #a #i%ta de di%po%iti-o% contro#ado% por pamgcon%o#e"%o en e# archi-o /etc/%ecurit+/con%o#e"perm%" A))e#, +e 0" A/0()")(* )ambi5n %e permite e# acce%o a cua#,uier programa con un archi-o ,ue %oporte e# nombre de comando en e# directorio /etc/%ecurit+/con%o#e"app%/" 4%to% archi-o% no nece%itan contener ning2n dato3 pero deben tener e# nombre e.acto de# comando a# ,ue corre%ponden"
Un grupo notab#e de ap#icacione% a #a% ,ue tiene acce%o e# u%urario de #a con%o#a %on tre% programa% ,ue cierran o abren e# %i%tema" 4%to% %on /%bin/ha#t /%bin/reboot /%bin/po!ero&& da ,ue e.i%ten ap#icacione% ,ue %oportan PAK3 5%ta% ##aman pamgcon%o#e"%o como re,ui%ito para e# u%o" Para m/% in&ormacin -ea #a% p/gina% de manua# para pamgcon%o#e3 con%o#e"perm% + con%o#e"app%" /"&I+ La 2nica di&erencia de u%ar un directorio pam"d entre un archi-o pam"con& e% como e# nombre de# %er-icio e% de&inido" Dentro de pam"con&3 un nombre de %er-icio e% de&inido como e# primer campo en una #inea de con&iguracin" Cuando #a con&iguracin de pam"d e% u%ada3 cada archi-o dentro de e%e directorio repre%enta un nombre de %er-icio3 + e# contenido de# archi-o de&ine #a con&iguracin para e%e %er-icio" La% #inea% de con&iguracin dentro de# archi-o pam"d no contiene un campo L%er-ice>nameM3 a%' e# tipo de modu#o e% e# http //!!!"codigo#ibre"org $G;
Antonio Perpian primer campo"
U#" +, OPIE ), PAM Para poder agregar OPI4 a un %er-idor PAK3 e# archi-o de con&iguracin para PAK debe de %er modi&icado" Debemo% agregar #o% mdu#o% de OPI4 a# archi-o de #ogin de PAKI e# %itio t'pico para #o% archi-o% de #ogin de PAK en e# directorio de con&iguracin /etc/pam"d o en e# archi-o +a deprecado /etc/pam"con&" Un e7emp#o para e# campo de autenticacin agregado a# archi-o de #ogin e% mo%trado a continuacin "u!G #u''()(e ! /0(4/#e)ur(!-//"&R,/(eI#, Para obtener OPI4 + e7ecutar como un mdu#o de PAK deber/ obtener#o de%de Internet en %u codigo &uente + compi#ar#o3 aun,ue en 1u%e aparecen en &ormato 8PK + ,ui0ad pueda #ograr in%ta#ar#o en Fedora3 goog#eando podemo% encontrar e%te %itio + de%cargar #o% &uente% G!!/://MMMI XXXXYYYYYY NIS - NISa 4# %er-icio de In&ormacin de 8ed (NI1* a+uda a di%tribuir #a in&ormacin de #o% u%uario% + de# ho%t ,ue %e a#macenan en #o% archi-o% de# %i%tema3 archi-o% como /etc/pa%%!d3 /etc/g%hado!3 /etc/ho%t% + /etc/group a tra-5% de #a red o ha%ta por #a% cone.ione% de Internet>!or6ing" NI1 ha tenido una #arga hi%toria re#acionada prob#ema% de %eguridad3 -ario% pa%o% deben %er tomado% para a%egurar una red ,ue uti#ice NI1 para ,ue e%te pueda e%tar %eguro" NI1a e% un pa,uete a#ternati-o de%arro##ado por 1un ,ue pone ma% 5n&a%i% en #o% prob#ema% de %eguridad" NI1 + NI1a pueden %er u%ado% cuando %e trata de mantener una Intranet de e%tacione% de traba7o% con GNU/Linu." Con una cuenta de NI13 cua#,uier %i%tema e7ecutando e# %o&t!are c#iente de NI1 puede ingre%ar por cua#,uier u%uario NI1" Una copia m/%ter de #o% archi-o% de# %i%tema en e# %er-idor NI1 puede tambi5n %er di%tribuida a #a% ma,uina% c#iente% en e# momento ,ue toman e&ecto actua#i0acione%" 4n e%ta %eccin3 cubriremo% #o% %iguiente% tema% Como Funciona NI1 + NI1a NI1 -%" NI1a C,&, 2u )(, " NIS - NISa NI1 + NI1a traba7an ba7o un concepto ba%tante %imp#e" Cuando e# %er-idor mae%tro %e inicia3 e%te #ee + ana#i0a #o% dato% en #o% archi-o% de con&iguracin" Luego e%te a#macena #a in&ormacin de%de #o% dato% de #o% archi-o% en mapa% (o tab#a%3 %i e% NI1a* + e%pera por una re%pue%ta" Cada -e0 ,ue un cambio e% hecho a# %er-idor mae%tro3 #o% cambio% %on tambi5n inc#uido% en e# %er-idor(e%* e%c#a-o" Cuando un u%uario ingre%a + rea#i0a otra operacin re,uiriendo NI1 a un computador en e%e dominio particu#ar de NI1 + NI1a3 e# c#iente en-'a una peticin a# %er-idor m/%ter + obtiene #a in&ormacin" 1i e# %er-idor mae%tro no e%ta &uncionando o dura mucho tiempo en re%ponder3 e# c#iente trata en -e0 con uno de #o% %er-idore% e%c#a-o%" Kientra% #a imp#ementacin de NI1a di&iere de NI13 e# e&ecto en #a red e% %imi#ar" 1in embargo3 NI1a no tiene e# comando tradiciona# dP + e% e%t/ ma% orientado a %er %eguro" E0 SerA(+,r M"#!er >M"e#!r,? Como %u nombre #o indica3 e%te e# e% %er-idor principa# para una in%ta#acin NI1 o NI1a" 4%te pro-ee todo% #o% mapa% ,ue contienen #a% contra%ea%3 grupo%3 tab#a% de ho%t + otra% in&ormacione% nece%itada% por un NI1 + NI1a" http //!!!"codigo#ibre"org $G?
Antonio Perpian
E0 SerA(+,r E#)0"A, 4# %er-idor e%c#a-o act2a cuando e# %er-idor mae%tro e%ta &uera de %er-icio" )odo% #o% e%c#a-o% %on actua#i0ado% cuando un cambio e% hecho a# %er-idor mae%tro" C0(e !e# )odo% #o% computadore% en #a red3 inc#u+endo e# %er-idor mae%tro + e%c#a-o3 %on c#iente%" 4%to% acce%an #a in&ormacin de%de e# %er-idor mae%tro o e# e%c#a-o en ca%o de ,ue e# mae%tro e%te &uera de %er-icio" NIS A#I NISa No ha+ re#acin entre NI1 + NI1a" Lo% comando%3 e%tructura + e# mane7o de #a %eguridad %on di&erente%" NI1a u%a tab#a% en -e0 de mapa%I NI1a u%a contra%ea% 8PC a%' como e# #ogin e%t/ndar de acce%o a# %i%tema" NI1 tiende a %er ma% &/ci# de con&igurar + mantener" Lo% prob#ema% inherente% con NI1 e% ,ue e# programa e% in%eguro" 1u autenticacin no e% con&iab#e3 pa%ando dato% %in encriptar + rep#ica% a tra-5% de #a red" NI1 puede permitir ,ue e# archi-o /etc/pa%%!d e%te di%ponib#e ha todo% #o% ,ue accedan #a red" Dado e# nombre de dominio de NI1 + #a direccin de# %er-idor3 cua#,uiera puede hacer una peticin pa%%!d"b+name"map" A%'3 #a contra%ea encriptada %on obtenido3 + #o% programa% ,ue pueden crac6ear de contra%ea pueden %er e7ecutado% %obre e# archi-o de contra%ea" 9a+ tre% manera% di&erente% para me7orar #a %eguridad de NI1 U%ar /etc/ho%t"a##o! + /etc/ho%t"den+ para #imitar e# acce%o a #o% %er-idore% con&iab#e%" U%ar e# /etc/+p%er-"%ecurenet" )oda% #a% cone.ione% %on denegada% e.cepto para #o% ho%t% #i%tado% en e%te archi-o3 ha%ta e# #oca#ho%t debe de %er e.p#'citamente permitido" U%ar %ecure portmapper" No u%ar /etc/+p%er-"%ecurenet + e# %ecure portmapper 7unto%" 4# prob#ema con NI1a e% en #a imp#ementacin ma% ,ue en #a %eguridad" NI1a &ue de%arro##ado por 1un + puede %er imp#ementado en GNU/Linu." 4# NI1a tiene %oporte + e%t/ acti-amente ba7o de%arro##o3 adem/% e% mu+ u%ado a2n ,ue ,ue genera buen %oporte en #o% &oro% + #i%ta% de correo" Kientra% ,ue NI1a e% #a ma% %egura de #a% do% imp#ementacione%" NI1 tiene #a documentacin + %oporte ma% amp#ia +a ,ue &ue + %igue %iendo ma% u%ado" Como un admini%trador de 1i%tema3 u%ted debe de in-e%tigar #o% 2#timo% de%arro##o% de NI1a + decidir cua# e% e# ma% apropiado para %u red" Ni NI1 o NI1a deben %er imp#ementado% en un ambiente de Internet %in co#ocar#o detr/% de un Fire!a##" NERBEROS \erbero% e% un protoco#o de %eguridad para rea#i0ar %er-icio% de autenticacin en #a red ,ue ha %ido creado por KI) e# cua# u%a una criptogra&'a ba%ada en c#a-e% %ecreta% para #a %eguridad de #a% contra%ea% en #a red" La encriptacin de contra%ea% con \erbero% puede a+udar a e-itar ,ue #o% u%uario% no autori0ado% intercepten contra%ea% en #a red + adem/% repre%enta otro m5todo de %eguridad de# %i%tema" :P,r .u; u#"r Ner4er,#1 La ma+or'a de #a% rede% u%an e%,uema% de autenticacin ba%ado% en contra%ea% ,ue cuando -ia7an #o hacen %in encriptar" Cuando un u%uario nece%ita autenticar%e para u%ar un %er-icio de #o% ,ue %e e7ecutan en uno de #o% %er-idore% de #a red3 %u contra%ea e% e%crita una + otra -e0 para cada %er-icio ,ue re,uiere %u autenticacin" 1u contra%ea e% en-iada a tra-5% de #a red + e# %er-idor -eri&ica %u identidad mediante e# u%o de #a contra%ea" La tran%mi%in de contra%ea% en te.to p#ano mediante e# u%o de e%te m5todo3 aun,ue hecho a menudo3 repre%enta un rie%go de %eguridad tremendo" Cua#,uier intru%o de# %i%tema con acce%o a #a red + un ana#i0ador de pa,uete% puede interceptar cua#,uier contra%ea en-iada de e%te modo" http //!!!"codigo#ibre"org $G@
Antonio Perpian
4# primer ob7eti-o de \erbero% e% e# de a%egurar ,ue #a% contra%ea% nunca %ean en-iada% a tra-5% de #a red %in %er encriptada%" La correcta imp#ementacin de \erbero% erradica #a amena0a de ,ue ana#i0adore% de pa,uete% ,ue intercepten contra%ea% en %u red" Ter&( ,0,g3" Ner4er,# Como otro% %i%tema%3 \erbero% tiene %u propia termino#og'a3 #engua7e u%ado para comunicar %u% &uncionamiento" A,u' ha+ una #i%ta de t5rmino% ,ue nece%itar/ para e%tar &ami#iari0ado con \erbero% C0(e !e Una entidad de #a red (un u%uario3 un ho%t o una ap#icacin* ,ue toma un tic6et de \erbero%" C")G; +e Cre+e )("0e# , "r)G(A, +e !()De!# Un archi-o ,ue contiene #a% c#a-e% para encriptar #a% comunicacione% entre e# u%urario + -ario% %er-icio% de red" \erbero% J proporciona un &rame!or6 para u%ar otro% tipo% de cach5 (como #a memoria compartida*3 pero #o% archi-o% %on me7or %oportado%" C0"Ae Dato u%ado cuando encriptamo% o de%encriptamo% otro% dato%" Lo% dato% encriptado% no pueden %er de%encriptado% %in #a c#a-e apropiada" Ce !r, +e D(#!r(4u)(* +e )0"Ae# >NDC? Un %er-icio ,ue emite tic6et% de \erbero%3 ,ue habitua#mente %e e7ecutan en e# mi%mo ho%t como un )ic6et Granting 1er-er" D,&( (, 8ed ,ue u%a \erbero%3 compue%to de uno o -ario% %er-idore% (tambi5n conocido% como \DC%* + un n2mero potencia# de c#iente%" Ne-!"4 Un archi-o ,ue inc#u+e una #i%ta de%encriptada de Lprincipa#%M (nombre de u%uario%* + %u% c#a-e%" Lo% %er-idore% recuperan #a% c#a-e% ,ue nece%itan de# archi-o 6e+tab en #ugar de u%ar 6init" /etc/6rbJ"6e+tab e% e# archi-o 6e+tab por de&ecto" 4# comando 6admind e% e# 2nico %er-icio ,ue u%a cua#,uier otro archi-o (/-ar/6erbero%/6rbJ6dc/6admJ"6e+tab* /r( )(/"0 U%uario o %er-icio ,ue puede autenti&icar mediante e# u%o de \erbero%" Un nombre de principa# e% en e# &ormato Lantonioe/in%tanciaflDOKINIOM" Para un u%uario t'pico3 antonio e% igua# a %u ID de #ogin" La in%tancia e% opciona#" 1i e# principa# tiene un in%tancia3 %e %epara de# u%uario antonio con (T/T*" Una cadena -ac'a (TT* e% un in%tancia -/#ida (,ue di&iere de# in%tancia por de&ecto NULL*3 pero u%ar#o puede %er con&u%o" )odo% #o% principa#% de un dominio tienen %u propia c#a-e3 ,ue %e deri-a de %u contra%ea (para u%uario%* o de &orma a#eatoria (para %er-icio%*" SerA()(, Programa u computador a# ,ue %e accede en #a red" !e%!, )('r"+, dato% encriptado% !e%!, /0" , Dato% no encriptado%" T()De! Grupo tempora# de credencia#e% e#ectrnico% ,ue -eri&ica #a identidad de un c#iente para un %er-icio particu#ar" T()De! Gr" !( g SerA()e >TGS? 4mite tic6et% para un %er-icio de%eado ,ue u%a e# u%uario para ganar acce%o a# %er-icio" 4# )G1 %e e7ecuta en e# mi%mo ho%t ,ue \DC" T()De! Gr" !( g T()De! >TGT? http //!!!"codigo#ibre"org $GJ
Antonio Perpian
)ic6et e%pecia# ,ue permite a# c#iente obtener tic6et% adiciona#e% %in ap#icar#o% de%de \DC" M,+, e .ue 'u )(, " Ner4er,# Ahora ,ue +a conoce a#guno% de #o% t5rmino% ,ue uti#i0a \erbero%3 +a podemo% dar una pe,uea e.p#icacin de# &uncionamiento de# %i%tema de autenticacin \erbero%" Pe,uea +a ,ue de \erbero% + %u imp#ementacin + ap#icacin %e puede e%cribir un #ibro + no% %aca de# tema de %eguridad + no de 1er-idore%" 4n una red Lnorma#M3 %in 6erbero%3 ,ue u%a contra%ea% para autenticar %u% u%uario%3 cuando un u%uario demanda un %er-icio de #a red ,ue re,uiere autenticacin3 e# u%uario tiene ,ue tec#ear %u contra%ea" 1u contra%ea e% tra%mitida en te.to p#ano + %e concede e# acce%o a e%te %er-icio de #a red" 4# principa# prob#ema para \erbero% con%i%te en cmo u%ar contra%ea% para autenticar%e %in en-iar#a% por #a red" 4n una red 6erberi0ada3 #a ba%e de dato% de \erbero% contiene #a c#a-e de #o% u%uario% (#a c#a-e de #o% u%uario% de 6erbero% %e deri-a de #a contra%ea% de e%to% en e# %i%tema*" La ba%e de dato% \erbero% tambi5n contiene c#a-e% para todo% #o% %er-icio% de #a red" Cuando un u%uario en una red 6erberi0ada %e regi%tra en %u e%tacin de traba7o3 %u principa# %e en-'a a# \e+ Di%tribution Center (\DC* con una peticin para un )ic6et Granting )ic6et ()G)*" 4%ta peticin puede %er en-iada por e# programa #ogin (para ,ue %ea tran%parente a# u%uario* o puede %er en-iada por e# programa 6init de%pu5% de ,ue e# u%uario %e regi%tre en e# %i%tema" 4# \DC -eri&ica e# principa# en %u ba%e de dato%" 1i #o encuentra3 e# \DC crea un )G)3 #o encripta u%ando #a% c#a-e% de# u%uario + #o de-ue#-e a# u%uario" 4# programa #ogin o 6init de%encripta e# )GP u%ando #a% c#a-e% de# u%uario" 4# )G)3 ,ue caduca de%pu5% de cierto per'odo de tiempo3 e% a#macenado en %u cach5 de credencia#e%" 4%te %#o %e puede u%ar por cierto per'odo de tiempo ,ue %ue#e %er de (B* ocho hora% (a di&erencia de una contra%ea cuando e% comprometida3 e%ta %e podr/ u%ar ha%ta ,ue e# u%uario #a cambie*" 4# u%uario no tiene ,ue introducir %u contra%ea otra -e0 en e# momento ,ue e# )G) caduca o %e de%conecta + -ue#-e a conectar%e" Cuando e# u%uario nece%ita acceder a un %er-icio de red3 e# c#iente u%a e# )G) para pedir un tic6et para e# %er-icio de )ic6et Granting 1er-ice ()G1*3 ,ue %e e7ecuta en e# \DC" 4# )G1 emite un tic6et por e# %er-icio de%eado3 ,ue %e u%a para autenti&icar e# u%uario" \erbero% depende de cierto% %er-icio% de #a red para traba7ar correctamente" Primero3 \erbero% nece%ita una %incroni0acin de re#o7 entre #o% computadore% + %u red" 1i no ha con&igurado un programa de %incroni0acin de re#o7 para %u red3 deber/ hacer#o" da ,ue cierto% a%pecto% de 6erbero% %e apo+an en e# Domain Name 1+%tem (DN1*3 debe de a%egurar%e de ,ue #a% entrada% DN1 + #o% ho%t% en %u red e%t/n con&igurada% correctamente" =ea #a Gu'a de# admini%trador 6erbero% =J3 proporcionada en &ormato% Po%t1cript + 9)KL3 en /u%r/%hare/doc/6rbJ%er-er>hn2mero>de>-er%inc/3 %i nece%ita m/% in&ormacin %obre e%to% tema%" Ner4er,# - P0ugg"40e Au!Ge !()"!(, M,+u0e# >PAM? 4n #a actua#idad3 #o% %er-icio% \erberi0ado% no hacen u%o de un %er-idor PAK3 un %er-idor 6erberi0ado omite PAK comp#etamente" La% ap#icacione% ,ue u%an PAK pueden hacer u%o de \erbero% para comprobar #a% contra%ea% %i e# mdu#o pamg6rbJpamg6rbJ (proporciona un n2mero>de>-er%in ,ue permiten %er-icio% como #ogin + gdm para autenti&icar u%uario% + obtener credencia#e% inicia#e% u%ando %u% contra%ea%" 1i e# acce%o a %er-icio% de red %iempre %e rea#i0a mediante %er-icio% 6erberi0ado% (o %er-icio% ,ue u%an G11>API3 como IKAP*3 #a red puede %er con%iderada ra0onab#emente %egura" http //!!!"codigo#ibre"org $GH
Antonio Perpian
Lo% admini%tradore% de %i%tema% cuidado%o% no aaden -eri&icacin de contra%ea% \erbero% a #o% %er-icio% de #a red3 por,ue #a ma+or'a de #o% protoco#o% u%ado% por e%to% %er-icio% no encriptan #a contra%ea ante% de en-iar#a a tra-5% ob-iamente e%to e% a#go a e-itar3 +a ,ue contrarre%tar'a #a ra0n origina# de 6erberi0ar una red para ,ue no en-'e contra%ea% %in primero encriptar#a%" C, '(gur")(* +e u SerA(+,r Ner4er,# Ante% de con&igurar un %er-idor \erbero%3 ob-iamente deber/ in%ta#ar#o" 1i nece%ita in%ta#ar %er-idore% e%c#a-o%3 con%u#te e# Kanua# de in%ta#acin de# \erbero% J (en e# directorio /u%r/%hare/doc/6rbJ>%er-er>hn2mero>de> -er%inc*" Note ,ue e%ta gu'a no e% para %er comp#eta3 %i -a a imp#ementar \erbero% debe bu%car un 9O<)O o un COKO en Internet actua#i0ado% + a,u' co#ocamo% e%ta bre-e gu'a para a%unto de di%cu%in %o#amente + no con garant'a de ,ue &uncione" I #!"0")(* +e u #erA(+,r Ner4er,#: $" A%eg2re%e de ,ue tanto e# 1er-idor de )iempo ,ue marca %u re#o7 como e# DN1 &uncionan correctamente en e# %er-idor ante% de in%ta#ar e# \erbero% J" Pre%te e%pecia# atencin a #a %incroni0acin de #a hora de# %er-idor \erbero% + de %u% di-er%o% c#iente%" 1i #a %incroni0acin de #o% re#o7e% de# %er-idor + de #o% c#iente% %e di&erencia en m/% de cinco minuto% ( #a cantidad predeterminada e% con&igurab#e en e# \erbero% J*3 #o% c#iente% de \erbero% no podr/n autenti&icar e# %er-idor" La %incroni0acin de #o% re#o7e% e% nece%aria para e-itar ,ue un intru%o u%e e# autenticador para hacer%e pa%ar como un u%uario autori0ado" ;" Con&igure e# protoco#o c#iente/%er-idor Net!or6 )ime Protoco# (N)P* de GNU/Linu.3 aun,ue no e%t/ u%ando \erbero%" La% ma+or'a de #a% di%tribucione% de GNU/Linu. inc#u+en e# pa,uete ntp para &aci#itar #a in%ta#acin" ?" In%ta#e #o% pa,uete% 6rbJ>#ib%3 6rbJ>%er-er + 6rbJ>!or6%tation en #a m/,uina en #a -a+a a e7ecutar e# \DC" 4%ta m/,uina tiene ,ue %er %egura3 no podr/ e7ecutar otro% %er-icio% ,ue no %ean de# \DC" 1i de%ea uti#i0ar #a inter&a0 gr/&ica de# u%uario (GUI* para admini%trar \erbero%3 tiene ,ue in%ta#ar e# pa,uete gnome>6erbero%" Contiene 6rbJ3 una herramienta GUI para admini%trar tic6et% + g6admin3 una herramienta GUI para admini%trar #o% dominio% de \erbero% (rea#m%*" @" Kodi&i,ue #o% archi-o% de con&iguracin /etc/6rbJ"con& + /-ar/6erbero%/6rbJ6dc/6dc"con& para re&#e7ar e# nombre de %u dominio + e# mapeo de #o% dominio% en %u red" 1e puede crear un /mbito (rea#m* %u%titu+endo #a% in%tancia% de 4XAKPL4"COK + e.amp#e"com con e# nombre de %u dominio %iempre + cuando %e re%pete e# &ormato correcto de #o% nombre% e%crito% en ma+2%cu#a + en min2%cu#a% + %e cambie e# \DC de# 6erbero%"e.amp#e"com con e# nombre de %u %er-idor \erbero%" 4n genera#3 #o% nombre% de #o% rea#m% e%t/n e%crito% en ma+2%cu#a + #o% nombre% de #a% m/,uina% en e# DN1 + #o% nombre% de #o% dominio% -an en min2%cu#a" Para ma+or in&ormacin %obre #o% &ormato% de e%to% archi-o%3 con%u#te #a% p/gina% man corre%pondiente%" J" Cree #a ba%e de dato% u%ando e# uti#itario 6dbJguti# en e# prompt de# %he## /u%r/6erbero%/%bin/6dbJguti# create >% " 4# comando create crea #a ba%e de dato% ,ue %e u%ar/ para a#macenar #a% c#a-e% de# rea#m de# \erbero%" La opcin >% ob#iga #a creacin de# archi-o %ta%h en e# ,ue %e a#macena #a c#a-e de# %er-idor ma%ter" 1i no e.i%te e%te 2#timo archi-o3 e# %er-idor \erbero% (6rbJ6dc* pedir/ a# u%uario #a contra%ea de# %er-idor mae%tro3 ,ue %e puede u%ar para regenerar #a c#a-e3 cada -e0 ,ue %e arran,ue" H" Kodi&i,ue e# archi-o /-ar/6erbero%/6rbJ6dc/6admJ"ac#" 4%te archi-o #o u%a e# comando 6admind para determinar ,u5 u%uario% principa#e% tienen acce%o a #a ba%e de dato% de :\erbero% + cu/# e% e# ni-e# de acce%o" La ma+or parte de #a% organi0acione% pueden acceder con una %o#a #'nea Y/adminl4XAKPL4"COKY" $" La ma+or parte de #o% u%uario% aparecen en #a ba%e de dato% como u%uario% principa#e% (#a in%tancia http //!!!"codigo#ibre"org $GA
Antonio Perpian
NULL3 aparece -ac'a3 o contiene por e7emp#o #o %iguiente 7enni&erl4XAKPL4"COK*" Con e%ta con&iguracin #o% u%uario% ,ue tengan una %egunda entrada como u%uario% principa#e% de admin (por e7emp#o3 7enni&er/adminl4XAKPL4"COK* tendr/n todo e# acce%o a #a ba%e de dato% de# rea#m de \erbero%" ;" Una -e0 ,ue %e e7ecuta e# comando 6admind en e# %er-idor3 todo% #o% u%uario% tienen acce%o a #o% %er-icio% de e%te %er-idor e7ecutando #o% comando% 6admin o g6admin en cua#,uiera de #o% c#iente% o %er-idore% de# rea#m" 1in embargo3 %o#amente #o% u%uario% ,ue aparecen en #a #i%ta de# archi-o 6admJ"ac# podr/n modi&icar #a ba%e de dato% %a#-o %u% contra%ea%" La% uti#idade% 6admin + g6admin %e comunican con e# %er-idor 6admind por #a red + u%an \erbero% para ##e-ar a cabo #a autenti&icacin" ?" )iene ,ue %er u%uario principa# ante% de conectar%e a# %er-idor con #a red para poder admini%trar#a" Puede crear e%ta primera entrada con e# comando 6admin"#oca# e# cua# %e ha creado e%pec'&icamente para u%ar#o en #a mi%ma m/,uina ,ue e# \DC + no u%a \erbero% para #a autenticacin" 4%criba e# comando 6admin"#oca# en una termina# \DC para crear #a primera entrada como u%uario principa# /u%r/6erbero%/%bin/6admin"#oca# >, Taddprinc nombre>u%uario/adminT A" Arran,ue \erbero% u%ando #o% %iguiente% comando% $" /%bin/%er-ice 6rbJ6dc %tart ;" /%bin/%er-ice 6admin %tart ?" /%bin/%er-ice 6rbJ;@ %tart B" Aada entrada% para otro% u%uario% con e# comando addprinc + 6admin o u%ando Principa# Xc + #uego #a opcin Aadir en g6admin" 6admin + 6admin"#oca# en e# \DC m/%ter %on una #'nea de comando% ,ue permite conectar%e a# %i%tema de admini%tracin de \erbero%" Para e##o3 e.i%ten otro% comando% di%ponib#e% una -e0 ,ue %e ha #an0ado e# programa 6admin" Con%u#te #a% p/gina% man de 6admin para ma+or in&ormacin" O" =eri&i,ue ,ue e# %er-idor crea tic6et%" Primero3 e7ecute 6init para obtener un tic6et + a#mac5ne#o en un archi-o de credencia#e% cach5" De%pu5% u%e e# comando 6#i%t para -i%ua#i0ar #a #i%ta de credencia#e% en e# cach5 + u%e e# comando 6de%tro+ para e#iminar e# cach5 + #o% credencia#e% ,ue contenga" Norma#mente3 6init intenta autenticar e# u%uario u%ando e# nombre de cone.in de #a cuenta ,ue u% cuando %e conect a# %i%tema (no #a %er-idor \erbero%*" 1i e%e nombre no corre%ponde a# nombre de entrada principa#3 -er/ un men%a7e ,ue #e indicar/ ,ue ha+ un error" 1i ocurre e%to" %imp#emente3 de a# comando 6init e# nombre de #a entrada principa# como argumento en #a #'nea de comando% (6init principa#*" 1i ha %eguido e%to% pa%o%3 e# %er-idor \erbero% &uncionar/ correctamente" Lo %iguiente ,ue tiene ,ue hacer e% con&igurar #o% c#iente% de \erbero%" C, '(gur")(* +e u )0(e !e +e Ner4er,# La con&iguracin de un c#iente de \erbero% J c#ient no e% tan comp#icada como #a de# %er-idor" Lo ,ue tiene ,ue hacer e% in%ta#ar #o% pa,uete% de# c#iente en un archi-o de con&iguracin 6rbJ"con& -/#ido" La% -er%ione% 6erberi0ada% de r%h + r#ogin re,uerir/n a#guno% cambio% en %u con&iguracione%" $" A%eg2re%e ,ue #a %incroni0acin %ea correcta entre e# c#iente de \erbero% + e# \DC" Adem/%3 e# DN1 tiene ,ue &uncionar correctamente ante% de in%ta#ar #o% programa% de# c#iente \erbero% " ;" In%ta#e #o% pa,uete% 6rbJ>#ib% + 6rbJ>!or6%tation en todo% #o% c#iente% de# rea#m" )iene ,ue dar #a -er%in de# /etc/6rbJ"con& para #a% e%tacione% de traba7o c#iente%I norma#mente e% e# mi%mo 6rbJ"con& ,ue u%a e# \DC" ?" Ante% de ,ue una e%tacin de traba7o de# rea#m permita a #o% u%uario% conectar%e u%ando #o% comando% 6erberi0ado% r%h + r#ogin3 #a e%tacin de traba7o tendr/ ,ue tener in%ta#ado e# pa,uete .inetd + tener %u http //!!!"codigo#ibre"org $GB
Antonio Perpian
propio nombre de# ho%t en #a ba%e de dato% de \erbero%" Lo% programa% de# %er-idor 6%hd + 6#ogind tambi5n nece%itan e# acce%o a #a% c#a-e% de #a entrada principa# de# %er-icio" $" U%ando e# comando 6admin3 aada entrada% para #a e%tacin de traba7o" La in%tancia en e%te ca%o %er/ e# nombre de# ho%t de #a e%tacin de traba7o" 1eguramente no tendr/ ,ue tec#ear #a contra%ea para e%ta entrada + %eguramente no ,uerr/ perder e# tiempo bu%cando una nue-a" U%e #a opcin >rand6e+ + e# comando de# 6admin addprinc para crear una entrada principa# + a%ignar#a a una c#a-e cua#,uiera "++/r( ) $r" +De- G,#!/ ,&4reIe%"&/0eI),& ;" Ahora ,ue +a ha creado #a entrada principa#3 puede e.traer #a% c#a-e% para #a e%tacin de traba7o e7ecutando 6admin en #a e%tacin de traba7o + u%ando e# comando 6tadd en 6admin D!"++ $D /e!)/Dr4JIDe-!"4 G,#!/ ,&4reIe%"&/0eI),& ?" Para poder u%ar #a% -er%ione% 6erberi0ada% de #o% comando% r%h + r#ogin3 tiene ,ue habi#itar 6#ogin3 e6#ogin + 6%he##" @" 1e tienen ,ue arrancar otro% %er-icio% de red 6erberi0ado%" Par u%ar e# comando 6erberi0ado te#net3 habi#ite 6rbJ>te#net" Para e# acce%o F)P3 cree + e.traiga #a c#a-e para #a entrada principa# con un root de &tp3 con #a% in%tancia% ,ue tenga ,ue con&igurar para e# %er-idor F)P" 9abi#ite e# comando g%%&tp" 4# %er-idor IKAP inc#u+e e# pa,uete imap ,ue u%ar/ #a autenticacin G11>API de# \erbero% J %i encuentra #a c#a-e adecuada en /etc/6rbJ"6e+tab" 4# root para #a entrada principa# tiene ,ue %er imap" 4# %er-idorg C=1 u%a una entrada principa# con un root de# c-% + e% id5ntica a p%er-er" 4%to e% todo #o ,ue nece%ita para crear un %imp#e rea#m de \erbero%" RESUMEN 4n e%te capitu#o3 cubrimo% #o% di&erente% mecani%mo% para #a identi&icacin + autenticacin de u%uario%" A#guna% de e%o% tema% &ueron U Identi&icacin + autenticacin e% #o &undamenta# para un acce%o %eguro" U La %eguridad e&ecti-a con&'a en e# mecani%mo de autenticacin ,ue u%ted e#igi + en una po#'tica de %eguridad %o#ida" U 1in e# conocimiento de #o% u%uario%3 un Crac6er no nece%ita encontrar una debi#idad t5cnica pero puede ganar acce%o comprometiendo un m5todo autori0ado3 ,ui0/% u%ando ingenier'a %ocia#" U Do% &actore% de autenticacin con%o#ida e# a%eguramiento de ,ue #a identidad de un u%uario e% #a correcta" U \erbero% + #a% contra%ea% de una %o#a -e0 (O)P* %on do% t5cnica% ,ue aumentan #a %eguridad de# %i%tema de autenticacin" U Lo% Kdu#o% de Autenticacin Conectab#e% (PAK* permiten ,ue un %o&t!are ##ame a una rutina determinada %in #a reimp#ementacin de cdigo de autenticacin en cada parte de# %o&t!are ,ue re,uiere autenticacin" U Kucho% 1i%tema% de Autenticacin combinan t5cnica% de encriptacin con e%trategia% adiciona#e% para -eri&icar #a identidad3 pero ninguna %o#ucin e%ta a prueba contra %er ob7eto de %er comprometida" U Autenticacione% + encriptacione% &uerte% %on #o% componente% c#a-e% de una e%tructura de in&ormacin %egura" Pregu !"# P,#!$E%"&e La% re%pue%ta% a e%ta% pregunta% e%t/n en e# Ap5ndice A" $" De&ina 4.ecution Contro# Li%t (4CL* ;" CDu5 tipo de autenticacin %on #a% )ar7eta% Inte#igente% un e7emp#oE ?" CDu5 e% \erbero%E @" Li%te #a% c#a%i&icacione% de una autenticacin J" CDu5 %igni&ica #a &ra%e AutenticacinE Proporcione do% &actore%E H" CCu/#e% %on #a% -enta7a% de u%ar P#uggab#e Authentication Kodu#e% (PAK%*E http //!!!"codigo#ibre"org $GO
Antonio Perpian
ASEGURAR EL AMBIENTE DEL USUARIO

TEMAS PRINCIPALES
Ob7eti-o% Pregunta% Pre>4.amen Introduccin Proteger #o% 1er-icio% )CP/IP Comunicacione% 1egura% <rapper% )CP F)P Annimo 1eguro 1eguridad de Archi-o% Compartido% 8e%umen Pregunta% Po%t>4.amen
No.
;JA ;JA ;HJ ;HA ;AG ;AJ ;BG ;BJ ;BB ;BB
CAPITULO
OBJETIVOS:
Al completar este captulo, usted podr 4ntorno com2n de -u#nerabi#idade% de %i%tema% + de%cribir #a% caracter'%tica% de una amena0a3 por e7emp#o3 )ro+ano% ()ro7an 9or%e*3 gu%ano%3 -iru% + crac6er%" Identi&icar #a% pauta% para determinan #o% tre% ni-e#e% genera#e% de %eguridad" De%cribir #o% cuatro programa% u%ado% para editar de &orma %egura #o% documento% %en%ib#e%3 ta#e% como /etc/pa%%!d" De%cribir uma%63 auto#ogout3 me%g3 pa%%!d3 m6pa%%!d + a,ue##o% programa% u%ado% en #a con&iguracin de #o% ambiente% de u%uario%" Comparar -#oc6 + .#oc63 de%cribiendo %u% principa#e% di&erencia%" De%cribir #a% &uncione% de #a% Li%ta% de Contro# de Acce%o (ACL*3 permi%o% de u%uario%/grupo%3 #o% programa% 1UID + de%cribir #a contribucin de a,ue##o% programa% a #a %eguridad de #a% rede%" De%cribir por ,ue #o% %cript% %etuid no &uncionan" De%cribir e# u%o de %udo de%de e# punto de -i%ta de# u%uario" De%cribir %udo + #a imp#ementacin de# programa en un %itio de traba7o3 + #a% caracter'%tica% 2nica% de %udo" Li%tar #a% importancia% de #o% mdu#o% de <ebmin3 de%cribir e# proce%o de in%ta#acin + con&iguracin de# programa"
K
SEGURIDAD
Pregu !"# Pre$E%"&e $" CCmo podr'a e# entrenamiento de un u%uario &ina# tran%&ormar%e en una medida de %eguridad e&ecti-aE ;" CDu5 e% e.actamente una po#'tica de %eguridadE ?" CCu/#e% %on #a% tre% c#a%i&icacione% de# permi%o de acce%o a un archi-o o directorio en GNU/Linu.E
@" CCu/#e% %on #o% tre% tipo% b/%ico% de permi%o% ,ue deben de %er a%ignado% en GNU/Linu.E
$$G
Antonio Perpian
INTRODUCCION La %eguridad de #o% ho%t in-o#ucra a%egurar #o% %ub%i%tema% ,ue no %e encuentran en #a red en un %i%tema GNU/Linu." Lo% ID de #o% U%uario% (UID%*3 contra%ea%3 + #o% permi%o% de archi-o% 7uegan un pape# importante en a%egurar #o% %i%tema% de #o% ho%t" UID% + #a% contra%ea% autentican a #o% u%uario% ,ue e%t/n %o#icitando acce%o a# %i%tema" 4# u%o de ID + contra%ea% e% #a ba%e &undamenta# de #a %eguridad" Lo% e%t/ndare% deben de %er imp#ementado% en como #o% u%uario% deben de e#egir una contra%ea %egura3 + debe %er habi#itado e# en-e7ecimiento de #a% contra%ea%3 de e%ta manera #a% contra%ea% %er/n cambiada% &recuentemente" 4# pen%ar de &orma coherente e% nece%aria en cua#,uier organi0acin para de%arro##ar una &uerte po#'tica de %eguridad" Dicha% po#'tica% deben de e.p#icar ,ue medida% tomar %i e% detectado un ata,ue3 a%'3 un acce%o i#ega# puede %er en&rentado + #o% dato% + #a% ap#icacione% pueden %er protegida%" N(Ae0e# +e Segur(+"+ - 0"# P,03!()"# GNU/Linu. pro-ee un amp#io rango de opcione% de %eguridad" 4%te te permite a7u%tar #a %eguridad a #a% nece%idade% de e%a imp#ementacin particu#ar" Como -a##a% progre%ando en e%te cur%o3 -era% #a% numero%a% manera% de a%egurar %u %i%tema GNU/Linu." 4.aminaremo% no %o#o e# ,ue3 %ino tambi5n e# por,ue + cuando3 de e%ta manera3 puede% e-a#uar #a% nece%idade% de tu compa'a para imp#ementar #a% medida% de %eguridad dada%" A pe%ar de todo% #o% mecani%mo% t5cnico% u%ado% para a%egurar un %i%tema3 #a% po#'tica% deben de&inir #a imp#ementacin + %er %eguida por #o% u%uario%" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin Lo% ni-e#e% de %eguridad Kecani%mo% de %eguridad Kane7o de #a %eguridad Po#'tica% de %eguridad N(Ae0e# +e Segur(+"+ Un amp#io an/#i%i% de #o% mecani%mo% de %eguridad3 con #a termino#og'a de %i%tema% operati-o% neutra#e%3 e% a#guna% -ece% -enta7o%o cuando %e e%ta traba7ando en un entorno mu#ti>p#ata&orma o cuando %e e%ta traba7ando con mode#o% &orma#e% de %eguridad" Aun,ue #a% imp#ementacione% de %eguridad te permiten tomar una deci%in granu#ar %obre %eguridad en ba%e a ca%o% a tra-5% ca%o3 para prop%ito% de di%cu%in3 tre% e.ten%a% c#a%i&icacione% con-enciona#e% de ni-e#e% de %eguridad %on u%ada% en e%te cur%o" 4%o% ni-e#e% %on :a7o3 Kedio + A#to" A#guna% di%tribucione% tienen de%ignacione% %imi#are% para #a con&iguracin de# &ire!a## de un ho%t3 a menudo acce%ib#e durante #a in%ta#acin" 4# u%o de e%ta% de%ignacione% arbitraria% permite a# admini%trador agrupar #o% tipo% de contra>medida% + proteccione% tratada para ap#icacione% cmoda%" 8ecuerde ,ue #a% imp#ementacione% e%pec'&ica% pueden -ariar %igni&icati-amente entre #a% di&erente% di%tribucione% + %u% con&iguracione%" Por ,ue e%ta% de%ignacione% %on arbitraria%3 con%idere a#guna% pauta% para %u con&iguracin + u%o" La% pauta% pueden cambiar dependiendo de cua#e% %ean #a nece%idad de #a organi0acin" 4%ta% e%t/n re%umida% en #a %iguiente tab#a"
N(Ae0 :a7a A/0()"4(0(+"+ 4# computador e%t/ en una #oca#idad %egura" 4# computador no contiene in&ormacin de importancia" I&/0e&e !")(* No e% ap#icado ning2n %i%tema de %eguridad" 1o&t!are anti-iru% e% u%ado" 4# computador e% %eguro en contra de robo"
$$$
Antonio Perpian
Kedia 4# computador contiene o acce%a mucha% in&ormacione% importante% + -a#io%a%" 4# computador e%ta en una %ituacin de a#to rie%go"

4# %i%tema operati-o e% de%mante#ado3 %ea3 %e #e% de%habi#itan #a ma+or parte de #o% %er-icio% ,ue e%te o&rece" 4%tricta% contra>medida% adiciona#e% + proteccione% %on habi#itada% en e# %i%tema operati-o"
A#ta
4L computador contiene + acce%a dato% de #a corporacin" 4# computador e% acce%ado por m/% de un indi-iduo" Proteccin contra accidente como dao% a #o% dato% e% re,uerido"
La auditoria e% habi#itada" 1on u%ado% permi%o% de archi-o%"

1on imp#ementada% po#'tica% de u%uario%" Contra>medida% + proteccin %on habi#itada% en e# %i%tema operati-o"
Me)" (#&,# +e Segur(+"+ Lo% mecani%mo% de %eguridad %on u%ado% para imp#ementar %i%tema% de %eguridad" 4.i%ten do% &orma% de mecani%mo% 4%pec'&ico% + Genera#e%" Me)" (#&,# E#/e)3'(),# +e Segur(+"+ A#guna% t5cnica% pueden %er imp#ementada% con %eguridad en di&erente% ni-e#e% (o capa%* para pro-eer #a %eguridad" =aria% tecno#og'a% %on Me)" (#&, +e C('r"+,I$ 4# cua# encripta e# dato mo-iendo entre #o% %i%tema% en una red (o entre do% proce%o% en un #oca#ho%t*" Me)" (#&, +e 2(r&" D(g(!"0I$ 4% como una encriptacin pero con #a -enta7a de adherida de -eri&icar ,ue e# emi%or + e# contenido %on aut5ntico%" Un tercer grupo -eri&ica #a tran%accin" Me)" (#&, +e C, !r,0 +e A))e#,I$ 4# cua# e% una %imp#e -eri&icacin ,ue a%egura ,ue e# emi%or o e# receptor e%ta autori0ado para ##e-ar a cabo una tarea o proce%o" Por e7emp#o3 e# acce%o a #a% rede% debe %er permitido para u%uario% pre>ca#i&icado% cuando e%t/n acce%ando remotamente" Me)" (#&, +e I !egr(+"+ +e D"!,#I$ 4# cua# inc#u+e t5cnica% para a%egurar ,ue cada pie0a (e7emp#o de #a% parte% de una tran%accin ,ue e%t/ %iendo en-iada% por #a red* de# dato e%ta %ecuenciada3 numerada3 + %e##ado a tiempo" Me)" (#&,# +e Au!e !()")(* I$ Como un %imp#e e%,uema de contra%ea en e# e%pacio de# u%uario" La autenticacin puede %er u%ada por ap#icacione%3 tambi5n3 re,uiriendo ,ue cada acce%o %ea autenticado3 reduciendo a%' #a oportunidad para acce%o% g#oba#e% %i a#guien de%autori0ado ganara acce%o a e%te" Me)" (#&, +e Re00e "+, >P"++( g? +e Tr"'(),I$ 4# cua# e% adicionar a #o% pa,uete% ,ue &#u+en dentro + &uera de #a% rede% para pre-enir ,ue hu%meadore% de red (1ni&&ing* %e apro-echen de #o% conocimiento% de #o% tamao de #o% pa,uete% + tiendan a ganar acce%o" Y Para ac#arar3 cuando una nue-a %eccin de ingre%o a# %i%tema e% e%tab#ecida3 cierto% tamao% de pa,uete% conocido% %on tran%mitido% + recibido% en e# inicio de #a %eccin" Lo% an/#i%i% de #a cabecera puede a#ertar a e%o% ob%er-adore% de red para capturar a#guno% de #o% %iguiente% pa,uete% (debido a %u pe,ueo tamao + #a pre%encia de cierto% campo% en #a% cabecera%*" 4# Padding puede hacer ,ue todo% #o% pa,uete% pare0can de# mi%mo tamao3 de e%ta manera uno puede e-itar %er e%cogido para %er ana#i0ado" Me)" (#&, +e Segur(+"+ Ge er"0 Otro% mecani%mo% no %on #imitado% a ninguna capa o ni-e# e%peci&ica" 4%ta% %on Funciona#idad Con&iab#e e%tab#ece ,ue cierto% %er-icio% o ho%t% %on %eguro% en todo% #o% a%pecto% + pue> den %er con&iab#e%" La% eti,ueta% (Labe#%* de %eguridad %on ap#icado% para indicar e# ni-e# de importancia de# dato" 4%to% http //!!!"codigo#ibre"org $$;
Antonio Perpian
%on u%ado% en adicin a otra% medida%" Por e7emp#o3 un archi-o puede obtener un #abe# adiciona#3 adem/% de# pri-i#egio de #eer/e%cribir3 ,ue permite e# acce%o %o#o a a,ue##o% ,ue ingre%an con ni-e#e% de cuenta% ,ue en#a0an o e.ceden e%a eti,ueta" La% Auditoria% de #a% ruta% %on u%ua#mente emp#eada% a -ario% ni-e#e% + monitoreada% por %a#-edade% para &aci#itar #a deteccin de #o% intru%o% + #a% -io#acione% de %eguridad" Por e7emp#o3 una diaria -eri&icacin de #o% archi-o% #og de #o% 1i%tema% Linu. bu%ca por con&iguracin de te.to% ,ue puedan apuntar e intentar acceder cierta% cuenta%" Lo% re%cate% de %eguridad %on un con7unto de reg#a% ,ue ap#ican cuando %e e%ta traba7ando con un e-ento de %eguridad"
M" e5, +e 0" Segur(+"+ Para a+udar a directore% %e de%arro##a una apro.imacin + una po#'tica3 #a% di&erente% /rea% de# mane7o de #a %eguridad deben %er identi&icada%" 4%ta% /rea% %on Admini%tracin de #o% 1i%tema% de 1eguridad3 e# cua# direciona e# entorno comp#eto de un computador + %u %eguridad" 4n e%ta /rea3 #a% po#'tica% %on de&inida%3 #o% pro-eedore% de %er-icio% %on con%u#tado%3 + mecani%mo% e%pec'&ico% %on e%cogido%" 4%te e,uipo o departamento debe tambi5n %er re%pon%ab#e de# proce%o de auditoria + recuperacin + por todo otro traba7o de %eguridad penetrante" La admini%tracin de #o% %er-icio% de# %i%tema in-o#ucra e# pro-eedor actua# de %er-icio% de %eguridad" 4# %i%tema de Li%ta de Contro# de Acce%o (ACL* contiene una #i%ta de e-ento% ,ue %on auditada% por e# ob7eto" Cuando e# tipo de ACL no e% e%peci&icado3 e%to e% u%ua#mente Di%creciona# ACL (DACL*" 4n e%te cur%o3 a%umiremo% ,ue e%te e% e# ca%o para todo #o re&erido a ACL%" P,03!()"# +e Segur(+"+ Lo% ata,ue% a #o% %i%tema% %on una e-entua#idad en cua#,uier %i%tema de red3 particu#armente en %i%tema ,ue %on conectado% a# Internet o %i%tema% ,ue %on de7ado% corriendo #a% ;@ hora% #o% A d'a% de #a %emana (;@/A*" La %eguridad ab%o#uta no puede %er garanti0ada3 de manera ,ue #a% po#'tica% e%pec'&ica% mane7an e%a% %ituacione% como -a##an %ucediendo3 de e%ta manera debe de ir %iendo imp#ementada%" Una brecha de %eguridad dentro de una gran compa'a puede a&ectar mi#e% de u%uario%" Due tan r/pido e# cao% potencia# puede %er re%ue#to dependiendo grandemente de #a preparacin + #a coordinacin de #o% ana#i%ta%3 admini%tradore%3 entre otro%" Lo% a%pecto% de %eguridad tambi5n pueden tener medida% pre-enti-a%3 ta#e% como #o% e%t/ndare% de #a% grande% compa'a% concerniente% a #a con&iguracin %egura + #o% m5todo% oportuno% de con-eniencia re#acionada a #a %eguridad de #a in&ormacin" &,!+ - e&(#(* +e "r)G(A,# 4%te archi-o e%ta ubicado en e# directorio /etc + puede %er u%ado para a#ertar a #o% u%uario% de# %i%tema de #o% cambio% en a%unto% de %eguridad + preparar#o% para #o% cambio% en e# %i%tema" 4# archi-o i%%ue contiene e# te.to ,ue aparece %obre e# prompt de# #ogin" 4# archi-o motd contiene e# men%a7e de# d'a + %er/ pre%entado a cada u%uario cuando e##o% inicien %e%in en e# %i%tema (#ogin*" 1u con&iguracin e% %imp#eI %o#o agrega e# men%a7e ,ue de%ee% en e# archi-o /etc/motd o /etc/i%%ue" 4%te mecani%mo %er/ raramente uti#i0ado en a#guno% ambiente% de red3 donde mucho% u%uario% e%t/n meno% intere%ado% en #og in en una inter&a0 de #'nea de comando ,ue acceder a# %itio de Intranet de #a compa'a" 4n e%to% ambiente%3 #a Intranet3 #o% medio% de impre%in3 o #a% %eccione% de concienti0acin de #o% u%uario% puede %er pre&erida como -'a para propagar in&ormacin a todo% #o% u%uario%" S(#!e&" +e Segur(+"+ +e GNU/L( u% 4n GNU/Linu.3 una combinacin de archi-o% de te.to% + de ap#icacione% corriendo en memoria de&inen #a con&iguracin de #a %eguridad" La% principa#e% caracter'%tica% de #a ar,uitectura de GNU/Linu. e% ,ue e# 6erne# http //!!!"codigo#ibre"org $$?
Antonio Perpian
contro#a todo e# acce%o de# %o&t!are a #o% di%po%iti-o% &'%ico% + cada %er-icio o demonio (daemon* gana acce%o a #o% recur%o% a tra-5% de# 6erne#3 con #o% pri-i#egio% a%ignado% por UID + ID de grupo (GID*" 4n #a %iguiente %eccin3 %e trataran #o% %iguiente% tema% La cuenta de root Admini%tracin )radiciona# =iru% 4.ten%in de# :u&&er 4# comando %u <ebmin L" Cue !" +e r,,! La cuenta de root (%uperu%uario* e% #a cuenta de u%uario pri-i#egiada" Por ra0one% de %eguridad3 un admini%trador %ue#e raramente iniciar %eccin (#og in* directamente como root" Por e# contrario3 e# admini%trador %ue#e iniciar %eccin como un u%uario norma# + #uego %u (cambiar de u%uario* a #a cuenta de root3 de e%ta manera %e minimi0a e# rie%go de inad-ertidamente daar e# %i%tema" K/% importante aun3 nunca debe de uti#i0ar%e un m5todo in%eguro de #og in como te#net para admini%trar un %i%tema" 1i ha+ duda como ,ue u%uario %e e%ta uti#i0ando en e# momento3 e# admini%trador puede e%cribir id 3 #o cua# #e retornara e# ID e&ecti-o de# u%uario (4UID*" De manera parecida3 e# comando !hoami retorna e# nombre de# u%uario en u%o" La ma+or'a de #a% &uncione% de #o% admini%tradore% de %i%tema% ##e-an a cabo e# u%o de #a cuenta de admini%trador" 8oot no tiene re%triccione% de acce%o en toda% #a% &uncione% de# %i%tema" A#guna% cuenta% adiciona#e% de# %i%tema %on u%ada% para admini%trar %ub%i%tema%" Uti#ice e%ta% cuenta% para a%egurar ,ue #o% permi%o% + propiedad de# archi-o %on correcto% para e# %ub%i%tema" Pero %iempre recuerde ,ue root puede irre-ocab#emente daar e# %i%tema3 tenga cuidado cuando traba7e como root" 4n grande% %i%tema%3 #a admini%tracin debe %er hecha por mucha% per%ona%" 4% imperati-o ,ue mucho% admini%tradore% coordinen %u% acti-idade%" 4% po%ib#e para una per%ona de%hacer o corromper e# traba7o hecho por otro" A pe%ar de %i #a% ma,uina% e%t/n en una /rea de acce%o re%tringido (como e# cuarto de computadora%*3 nunca mantenga #a con%o#a de# %i%tema ingre%ado in como root" A#guno% admini%tradore% de%habi#itan e# #og in de root en otra% termina#e% para pre-enir m2#tip#e% u%uario% de root traba7ando en e# mi%mo %i%tema" 4%to debe %er una buena idea3 pero en un e-ento poco probab#e #a con%o#a %e cue#ga3 no habr'a manera de traba7ar como root3 a%' ,ue e% buena idea de7ar a# meno% otra termina# con acce%o #imitado de permi%o% de root (%udo*" A+&( (#!r")(* Tr"+()(, "0 4# admini%trador de %i%tema tradiciona#mente ha %ido re%pon%ab#e por amp#io rango de tarea% de admini%tracin" A#guna% de e%a% tarea% inc#u+en3 pero no %on #imitada%3 #o %iguiente Agregar + :orrar u%uario% Crear :ac6up% de# %i%tema 8e%tituir archi-o% de%de e# :ac6up Konitorear #a% acti-idade% de# %i%tema A&inacin de# rendimiento de# %i%tema 4%ta% acti-idade% + como %on imp#ementada% -ar'a arduamente dependiendo de# %i%tema GNU/Linu. + e# entorno" Lo ,ue e% 7u0gado como e.tremadamente importante en un ambiente3 como #a acti-idad de# monitoreo http //!!!"codigo#ibre"org $$@
Antonio Perpian
de# %i%tema + e# a&inamiento de# interprete regu#ar de# %i%tema3 no %er/ a#go tan importante en otro entorno" 1i #a% re%pon%abi#idade% tradiciona#e% de un admini%trador de %i%tema %on riguro%amente %eguida%3 e% m/% probab#e bur#ar una cri%i%" Lo% proce%o% de #a admini%tracin de %i%tema% deben %er a%ignado% ba%ado% e# entorno + e# %i%tema GNU/Linu.3 + #uego e% imp#ementado como un proce%o ,ue e% e7ecutado rutinariamente" Un proce%o de admini%tracin ,ue inc#u+e% ta#e% 'teme% como cambiar #a% contra%ea% regu#armente3 #a creacin de bac6up%3 cerrar #a %e%in + #impiando #a termina# ,ue e%ta en panta##a3 + probando cua#,uier %i%tema o cambio% en e# %o&t!are pro&undamente ante% de #a imp#ementacin %a#-aguardara en contra de mucha% -io#acione% ,ue pueden ocurrir" V(ru# Lo me7or conocido como una prueba %i%tem/tica + ata,ue en un %i%tema UNiX ha %ido bien documentado en -aria% &uente% + puede %er encontrado pub#icado en mucho% %itio% de Internet" 4# ; de no-iembre de# $OBB3 Un programa e%crito por 8obert )" Korri% Nr"3 graduado de #a Uni-er%idad de Corne## en e# Qrea de Ciencia Computaciona#3 &ue #an0ado accidenta#mente en Internet" 1eg2n Korri%3 e# programa &ue di%eado para demo%trar ,ue Internet3 en e%e tiempo3 era -u#nerab#e + conten'a mucha% brecha% de %eguridad" 4# -iru% &ina#i0o propag/ndo%e en apro.imadamente A3GGG computadore%3 mucho% de e%to% corr'an e# programa gu%ano" 4# gu%ano con%umi e# %i%tema3 e# CPU + #o% recur%o% de #a memoria a ta# punto de ,uedo reducido %u &uncionamiento con%iderab#emente e inc#u%o cau%o ,ue mucho% de e%to% ,uedaran %in &uncionamiento" Ning2n otro dao ocurriI ning2n archi-o &ue borrado o de%truido3 pero #o% admini%tradore% de %i%tema% tu-ieron ,ue dedicar a#go de tiempo -eri&icando ,ue ning2n otro prob#ema %e ha+a pre%entado" 4# e%cenario pudo haber %ido mucho peor %i e# gu%ano hubiera tenido cdigo ,ue hiciera dao &'%ico o hubiera corrido %in dedicar #a %u&iciente atencin a# mi%mo" 4n e# mundo de + GNU/Linu. de ho+ + UNiX3 #o% -iru% %on no e.i%tente %e puede a&irmar" Aun,ue goog#eando puede encontrar in&ormacione% de in-e%tigacione% e intento% por no ma% de ah'" Dui0/% e%to %e debe a #o% ni-e#e% de %eguridad de# %i%tema mi%mo + e# conocimiento de %u% u%uario%" Due %e e7ecute en m2#tip#e% ar,uitectura de hard!are e% otro &actor3 aun,ue e.i%ten -iru% en ar,uitectura% ,ue GNU/Linu. %e e7ecuta ma+ormente ,ue e% #a Compatib#e% de Inte#/AKD" Dui0/% #a ma+or ra0n de e%to e% ,ue GNU/Linu. e% de cdigo Libre + Abierto + e%ta %ea #a c#a-e3 por e%ta% ra0one% #a creacin de un -iru% e% una tarea mu+ di&'ci#" Para ,ue un -erdadero -iru% e.i%ta en UNiX3 e%te debe %er capa0 de reconocer cada -er%in de UNiX + #a p#ata&orma de hard!are conocida%3 o de%arro##ado de%de enero de# $OAG" Cuando ta#e% -iru% e.i%tan3 e%to% e%tar/n de%tinado% a a#guno% poco% mode#o% de hard!are (1PA8C chip =O3 =AX>$$/ABG3 o Inte# Pentium* + a#guno% %abore% pecu#iare% de e%o% hard!are (Fedora GNU/Linu.3 1unO13 :1D*" )ambi5n3 un -iru% debe de tener #o% pri-i#egio% de root para poder cau%ar un gran dao en un %i%tema UNiX" 4n e# ni-e# ma% ba7o3 e%te puede daar u%uario% #o% cua#e% inad-ertidamente #o e7ecutan #o ,ue %igni&ica ,ue e%tar/ #imitado a a,ue# u%uario ,uien #o ha+a propagado" A#guno% pa%o% deben de %er tomado% para proteger GNU/Linu. + #o% %i%tema% UNiX de -iru%" Por e7emp#o Proteccin de e%critura en #o% directorio% de di&erente% ni-e#e%" =eri&icar regu#armente #a% modi&icacione% + chec6%um de #o% %i%tema% e7ecutab#e%" In%ta#ar ap#icacione% con&iab#e% en /rea% e%pecia#e%" A%egurar ,ue #o% u%uario% e7ecuten %o#o ap#icacione% conocida% + ,ue e%to% accidenta#mente no inc#u+an otro% e7ecutab#e% de%de #o% directorio% de e%critura g#oba#e% (/tmp o /-ar/tmp*" No in%ta#ar ap#icacione% %in primero -eri&icar ,ue e%ta% e%t/n #ibre% de -iru%" http //!!!"codigo#ibre"org $$J
Antonio Perpian
De#4,r+"&(e !, +e0 Bu''er Lo% de%bordamiento% de# bu&&er %on #a% &uente% de #a ma+or'a de ata,ue% a %i%tema% GNU/Linu." CPor,u5 #o% de%bordamiento% de# :u&&erE Como no ha+ una con&iguracin centra#3 como e# 8eg4dit3 + directa de atacar a GNU/Linu.3 Lo% Crac6er% %e han en&ocado en #o% de%bordamiento% de bu&&er de ap#icacione% indi-idua#e%" La% -u#nerabi#idade% -ienen con determinado% errore% de programacin ,ue %on mu+ di&'ci#e% de e-itar por #o% programadore%3 natura#mente3 mucho% programa% contienen e%o% errore%" 4%to e% cau%ado cuando determinada% -ariab#e% reciben m/% dato% ,ue #o ,ue anticipo e# programador o para #o ,ue e%ta preparado e# mi%mo" 1i ocurre ,ue e%a% -ariab#e% %on #a% re%pon%ab#e% de a#macenar entrada% ,ue a#guien puede modi&icar3 un atacador con habi#idade% pudiera introducir una condicin de error3 cau%ando ,ue #o% programa% %e cue#guen o ,ue e%to% traba7en de una manera para #o ,ue no &ueron di%eado%" Cuando un programa importante o un programa de mucha% habi#idade% contiene uno de e%o% errore%3 e%to %eria e-entua#mente encontrado por a#guien + u%ado como un en#ace de ata,ue" Lo% atacante% bu%can por cierto% tipo% de programa% cuando e%t/n bu%cando por candidato% de de%bordamiento% de bu&&er" Lo% &a-orito% %on a,ue##o% ,ue tienen pri-i#egio% UID" Lo% programa% ,ue tienen pri-i#egio% UID tienen acce%o a #o% ni-e#e% de root pero %o#o u%an e%to% pri-i#egio% para rea#i0ar a#guna% pe,uea% tarea% + nada m/%I %in embargo3 e# pri-i#egio de hacer cua#,uier co%a e%ta ah'" Cuando un atacante puede inducir un de%bordamiento de# bu&&er dentro de un programa 1etuid (e%tab#ecido% como pri-i#egio% UID*3 e# programa puede daar%e en una manera ,ue de7a una %he## con root para e# atacante" Otra po%ibi#idad e% #a aceptacin de un comportamiento errado de# programa3 como e% originado por root" Lo% prob#ema% de %obrecarga han %ido recientemente e.p#otado% en programa% de %er-idore% popu#are% ,ue %e e7ecutan como daemon% (demonio%* de red como %on ,popper3 named + !u>&tpd3 e# cua# e% un %er-idor F)P mu+ popu#ar" 4# e7emp#o ma% grande %e %obrecarga e% crond3 e# cua# e% un programa #oca# de in-entario" tambi5n %endmai# tiene una gran hi%toria de %obrecarga de bu&&er3 a# igua# ,ue mucho% otro%" Un m5todo para a+udar a proteger en contra de #a %obrecarga de #o% bu&&er3 + de e%ta manera e-itar ,ue ganen acce%o a root en #a %he##3 e% creando una cuenta de u%uario nadie (nobod+ account*" A%ignando a nobod+ como propietario de# %er-icio de# %i%tema" 1i e# bu&&er e% inundado3 e# atacante gana acce%o a# %i%tema como nobod+3 con #o% permi%o% de nobod+3 no como root" E0 C,&" +, #u 4# comando %u e% uti#i0ado por #o% admini%tradore% de %i%tema% para tran%&ormar%e tempora#mente en otro u%uario" Una nue-a %he## e% in-ocada con e# id de# u%uario + de# grupo de un e%pec'&ico nombre de #ogin + per%ona#i0ar e# ambiente como %i% e# nue-o u%uario %e hubiera ingre%ado norma#mente" 1in #a opcin de# (>* en %u3 mu+ poco% de #o% ambiente% de# %he## %er/n u%ado% en #a nue-a %he##" 4# comando %u puede e%tar dando opcione% para e# programa de #ogin" Para #a% ma+or'a% de cuenta% de u%uario%3 e# programa de #ogin e% #a %he##3 + #a opcin >c puede %er u%ada para e%peci&icar un comando a ,ue %e e7ecute como otro u%uario" Una -e0 e# comando e% e7ecutado3 %u retornara a# u%uario origina#" Kucho% de #o% %i%tema% GNU/Linu. moderno% con caracter'%tica% de %eguridad pueden de%habi#itar e# comando %u para ,ue %o#o pueda %er u%ado por un par de u%uario% b/%ico%" Note ,ue cuando %e rea#i0a e# comando %u root3 #a ruta %er/ norma#mente rea7u%tado a #a ruta por de&ecto de root" Por ra0one% de %eguridad3 e%te por de&ecto no inc#uir/ e# directorio ,ue e%ta %iendo uti#i0ado en e# in%tante" Para e-itar %er a&ectado por #o% programa% )ro+ano3 u%ted puede %iempre e7ecutar %u3 uti#i0ando %u ruta comp#eta (/bin/%u* cuando e%ta cambiando a #a cuenta de# u%uario root" http //!!!"codigo#ibre"org $$H
Antonio Perpian
E0 We4&( 4n e# mundo GNU/Linu. + UNiX3 e% t'pico ,ue cada ap#icacin tenga &ormato% di&erente% en %u% archi-o% de con&iguracin" )odo% %on archi-o% de te.to3 pero e# XKL ,ue #o con%titu+e %on di&erente%3 #a %o&i%ticacin de e%o% archi-o% a -ece% puede %er abrumadora3 e%pecia#mente cuando %e aprende uno a #a -e0" <ebmin puede a+udar permitiendo e# mane7o cercano de ca%i todo% #o% %er-icio% de# %i%tema de%de una inter&ace de !eb" :Bue e# We4&( 1 4# <ebmin con%i%te de un 1er-idor <eb + %cript% de CGI3 todo% e#aborado% en P48L" 4%te uti#i0a e%to% %cript% para modi&icar #o% archi-o% de# %i%tema u%ando una inter&a0 !eb" 4# <ebmin puede %er uti#i0ado en con7unto con 11L para hacer #a cone.in %egura de%de e# na-egador ha%ta e# 1er-idor" Cada %er-icio contro#ado por <ebmin tiene un modu#o ,ue contiene tanto #a inter&ace <eb + e# cdigo para modi&icar #o% archi-o% de con&iguracin" Ca%i cada buen %er-icio conocido tiene un modu#o ,ue #e permite a e%te %er contro#ado por <ebmin" 1i no3 no e% tan di&'ci# e%cribir un modu#o" <ebmin con&igurado con un e%t/ndar de ?G mdu#o% para contro#ar #o% %er-icio% ma% comune%" 4%to inc#u+e todo de%de u%uario% + grupo% de# %i%tema ha%ta archi-o% compartido% por 1amba + e# %i%tema <ebmin" <ebmin puede %igni&icati-amente reducir e# tiempo ,ue toma admini%trar una ma,uina de GNU/Linu." M*+u0,# E#!C +"r <ebmin o&rece uno% $GG mdu#o% ,ue pueden hacer #a -ida de un admini%trador un poco m/% &/ci#3 aun,ue e%ta herramienta %iempre ha e%ta p#agada por prob#ema% de -u#nerabi#idad e%ta %igue + %eguir/ %iendo mu+ popu#ar entre #o% admini%tradore%" =er #a documentacin de <ebmin para in%truccione% ma% e%peci&ica% en e# u%o de cada mdu#o e ir a# %itio !eb de !ebmin para -er una #i%ta comp#eta de todo% #o% mdu#o% ,ue %oporta + %u de%cripcin http //!!!"!ebmin"com/%tandard"htm# SUDO A menudo e% di&'ci# %aber ,uien e% con&iab#e3 #o cua# hace de #a %eguridad de# %i%tema un tema importante" %udo o&rece un compromi%o entre #a con&ian0a + #a %eguridad + e% una herramienta -ita# en cua#,uier ambiente donde #o% debere% de# admini%trador %on compartido% entre -aria% per%ona%" Oca%iona#mente #o% admini%tradore% de %i%tema% nece%itan permitir a #o% u%uario% rea#i0ar a#guna accin e%peci&ica con #o% permi%o% de root" 1in embargo3 ,ue un u%uario cua#,uiera tenga conocimiento de #a c#a-e de root no e%ta dentro de# buen u%o de #a% norma% de %eguridad" La herramienta %udo #e permite a #o% u%uario% uti#i0ar %u propia contra%ea (#a contra%ea ,ue #e &ue a%ignada por e# admini%trador de %i%tema%* para e7ecutar comando% + accione% como root o cua#,uier otro u%uario con #a opcin >u nombre" 4%ta %eccin %e e.p#icar/ #a% pa%o% de agregar un u%uario a# archi-o %udoer% + rea#i0ar una accin como otro u%uario" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin CDu5 e% %udoE Con&igurando %udo Archi-o Log 47ecutando %udo 8ie%go% de %eguridad con %udo :Bu; e# SUDO1 4# %udo e% una herramienta admini%trati-a ,ue #e permite a# admini%trador de# %i%tema e.tender + contro#ar #a% habi#idade% ,ue inc#u+en e# acce%o a root de #o% u%uario% norma#e%" 4%te uti#itario e% uti#i0ado ma% a menudo http //!!!"codigo#ibre"org $$A
Antonio Perpian
para permitir#e a #o% u%uario% regu#are% rea#i0ar a#guna% operacione% como root3 pero como tambi5n rea#i0ar comando% como cua#,uier otro u%uario de# %i%tema" Un admini%trador de %i%tema u%ando %udo puede permitir#e a un u%uario e7ecutar un comando tempora#mente como root mientra% acce%a a# u%o de opcione% + comando%" 1uponga ,ue un u%uario e% re,uerido ,ue tenga e# permi%o de root para rea#i0ar e# comando cho!n en uno% archi-o%" 1in embargo3 e% para #o 2nico ,ue e# u%uario %iempre nece%itara acce%o a root" 4n -e0 de dar#e #a contra%ea de root a# u%uario + de e%ta manera dar#e #ibertad comp#eta de# %i%tema" 4% me7or u%ar %udo + re%tringir#o %o#o a# comando cho!n" Adema% de %er u%ado por #o% u%uario% de# %i%tema3 e%te tambi5n puede %er u%ado por #o% grupo%" Un grupo de u%uario% puede %er de%ignado en e# archi-o de con&iguracin3 permiti5ndo#e% a todo% #o% miembro% #a opcin de rea#i0ar comando% como root" :C*&, O/er" #u+,1 1udo permite e%ta% operacione% gracia% a# %uperu%uario3 e%te e% e# con&igura e# archi-o /etc/%udoer%" 4%te archi-o contiene campo% u%ado% para e%peci&icar cua#e% u%uario% pueden rea#i0ar cierta% tarea% en computadore% e%pec'&ico%" Lo% pri-i#egio% de acce%o pueden -ariar de%de a%ignar#e a un u%uario e# acce%o comp#eto a una red ha%ta %o#o poder rea#i0ar un %o#o comando en e# %i%tema" 1udo e% protegido por una contra%ea3 e%to %igni&ica ,ue %i un u%uario trata de e7ecutar %udo debe entrar una contra%ea" De e%ta manera %e e-ita ,ue cua#,uier u%uario pueda tener #a contra%ea de root de# %i%tema" 1udo %o#o re,uiere ,ue #o% u%uario% cono0can %u propia contra%ea" De e%ta manera3 %udo pro-ee un a#to ni-e# de %eguridad #imitando a%' e# n2mero de u%uario% ,ue nece%itan #a contra%ea de root para poder rea#i0ar #a% acti-idade% nece%aria%" 4%ta opcin3 de re,uerir #a contra%ea puede %er cambiada en e# archi-o de con&iguracin3 con #a opcin NOPA11<D" De%pu5% de ,ue #o% u%uario% %e han -eri&icado con #a contra%ea correcta3 tienen un tiempo de J minuto% en e# cua# tienen #a #ibertad de uti#i0ar e# comando %in tener ,ue reingre%ar #a contra%ea" 4# #imite de #o% J minuto% e% reiniciado cada -e0 ,ue e# u%uario e7ecuta %udo3 + #a duracin de e%te tiempo tambi5n puede %er cambiada en e# archi-o de con&iguracin" 1udo no e%ta #imitado %o#o a root" Un u%uario %e #e puede conceder permi%o para e7ecutar comando% como otro u%uario" La in%ta#acin debe %er rea#i0ada como root3 a#o7ando cada cdigo &uente en e# directorio apropiado3 aun,ue +a toda% #a% di%tro% de GNU/Linu. #o traen integrado + %ino %e in%ta#a con un %imp#e +um in%ta## or apt>get %i e% debian" C, '(gur" +, #u+, 4# archi-o de con&iguracin para e# programa %udo e% ##amado %udoer%3 e%te debe %er e%crito ante% de %er e7ecutado para ,ue pueda &uncionar" 4%te debe e%tar a#o7ado en e# directorio /etc/" 4% importante &ami#iari0ar%e con e# contenido de# archi-o /etc/%udoer% por,ue %udo o&rece una gran -ariedad de opcione%" U#" +, A(#u+, 4# %udo -iene acompaado por un editor de te.to ##amado -i%udo3 e# cua# debe %er u%ado para editar e# archi-o %udoer%" De una manera %imi#ar a# -ip! para editar e# pa%%!d + -igr para editar a /etc/group3 -i%udo -eri&ica #o% po%ib#e% errore% de %inta.i% b/%ico% dentro de# archi-o + b#o,uea e# archi-o para pre-enir m2#tip#e% con&iguracione%3 o compromi%o% de %eguridad de archi-o% tempora#e%" 4%te programa e% in%ta#ado cuando e# programa %udo e% in%ta#ado + e%te -iene con %u propia pagina de man" 4%te traba7a %imi#ar a# -i/-im + no debe de %er un prob#ema para a#guien &ami#iari0ado con e%te" E0 "r)G(A, /e!)/#u+,er# http //!!!"codigo#ibre"org $$B
Antonio Perpian
4# archi-o /etc/%udoer% e%ta compue%to por do% parte%" La primera parte crea #a e%tructura + #o% a#ia% a %eguir por e# programa %udo3 con a#ia% de u%uario%3 a#ia% de e7ecutar>como (runa%*3 a#ia% de ho%t% (ho%t a#ia%e%* + a#ia% para comando% e%pec'&ico%" La %egunda parte determina cua#e% u%uario% %on permitido a acce%ar a %udo + %u% #'mite%3 de&iniendo e# acce%o a #o% per&i#e% de #o% u%uario% dentro de %udo" 4# archi-o /etc/%udoer% contiene toda #a in&ormacin ,ue e% nece%aria para u%ar %udo" La %iguiente #i%ta de%cribe cada parte de# archi-o /etc/%udoer% U%er a#ia% A%igna a#ia% para cada grupo de u%uario% ,ue u%aran %udo" 8una% a#ia% Pro-ee un a#ia% com2n para cierto% u%uario% #o% cua#e% %er/n emu#ado% por %udo" 9o%t A#ia% Una #i%ta de a#ia% ,ue pueden %er apodado% en un grupo" Command A#ia% Una #i%ta de comando% ,ue #o% u%uario% pueden u%ar a tra-5% de %udo" U%er con&iguration La% di&erente% con&iguracione% para cada a#ia% o u%uario" L,# A0("# )enga pre%ente ,ue #a% a#ia% de %udo no %on #o% mi%mo% ,ue #o% a#ia% de #o% comando% ,ue #o% u%uario% %ue#en e%peci&icar en %u per&i# de# %he##" La primera parte de e%te archi-o e% &i7ado en e# %iguiente &ormato "0("# NAME ] /r(&er,1F #egu +,@F !er)er,EF e!)I 9a+ cuatro tipo% de a#ia% U%ergA#ia%3 8una%ga#ia%3 9o%tgA#ia% + CmndgA#ia%" La% e%peci&icacione% en U%ergA#ia% agrupa di&erente% u%uario%" 4%to puede %er hecho con nombre% de u%uario%3 n2mero% UID pre&i7ado% con un W3 + #o% n2mero% GID pre&i7ado% con S" Por e7emp#o3 %i e# %iguiente a#ia% de u%uario e% ingre%ada U#erRA0("# SYSTEMADMIN ] "0e%F r"'-F " (4"0 Luego #o% u%uario% a#e.3 ra&+ + aniba# %er/n con%iderado% como parte de# grupo 1d1)4KADKIN" 4% importante ,ue #o% nombre de #o% grupo% e%t5n en ma+2%cu#a" La e%peci&icacin de# 8una%gA#ia% %on pro-e'da% para #i%tar #o% u%uario% ,ue %er/n u%ado% para e7ecutar #o% comando% Ru "#RA0("# OP ] r,,!F ,/er"!,r Ru "#RA0("# DB ] ,r")0e La% e%peci&icacione% 9o%tgA#ia% %on u%ada% para identi&icar computadore%3 rede%3 o hard!are de red" Direccione% IP3 nombre% de ho%t% (9o%tname%*3 grupo% de red + #o% nombre% de red pueden %er u%ado% H,#!RA0("# 2UNDACION ] ')0+F #!+g,F #" !("g, H,#!RA0("# ROMANA ] @@@I@@@I177I@@@F @@@I@@@I177I111 H,#!RA0("# SERVERS ] &"(0F MMMF # La% e%peci&icacione% de #o% CmndgA#ia% identi&ican #o% comando% a permitir o prohibir" La% ruta% de #o% comando% deben %er inc#uido en #a% e%peci&icacione% C& +RA0("# NILL ] /u#r/4( /D(00 C& +RA0("# PRINTING ] /u#r/#4( /0/) L"# E#/e)('()")(, e# +e 0,# U#u"r(,# La %egunda parte de e# archi-o %udoer% e% ##amada %eccin de e%peci&icacin de u%uario" 4%ta uti#i0a #a% e%peci&icacione% de a#ia% ante% mencionado% para determinar #o% comando% e%pec'&ico% + #o% computadore% ,ue #o% u%uario% pueden acce%ar" 4# &ormato para e%to e% como e# %iguiente http //!!!"codigo#ibre"org $$O
Antonio Perpian
u#er/NAME )u"0e#R),&/u!"+,re# ] )u"0e#R),&" +,# Un e7emp#o de e%peci&icacin de u%uario e% SYSTEMADMIN ALL ] /u#r/4( /D(00 La e%peci&icacin de u%uario anterior permite a todo% #o% u%uario% en e# grupo 1d1)4KADKIN u%ar e# comando 6i## en cua#,uier computador" "0e% ')0+ ] ALL 4%ta e%peci&icacin de u%uario permite a# u%uario a#e. e7ecutar cua#,uier comando en e# computador &c#d" 4%te e% un e7emp#o de #a %eccin de e%peci&icacin de u%uario en e# archi-o /etc/%udoer%3 con u%uario% particu#are% ,ue e%t/n di%ponib#e% para rea#i0ar %o#o cierto% comando% en cierto% computadore%" "0e% #" !("g, ] /u#r/4( / r"'SERVIDOR ] /u#r/4( /"++u#er " (4"0 ALL ] /u#r/#4( /0/)F /u#r/4( /0/r 4# u%uario a#e. podr/ rea#i0ar cua#,uier comando ,ue re%ida en e# directorio /u%r/bin en #a e%tacin de traba7o %antiago" 4# u%uario ra&+ puede agregar ma% u%uario% en e# e,uipo 148=IDO8 con e# programa addu%er3 + aniba# tiene #a habi#idad de imprimir u%ando #o% uti#itario% de impre%in en todo% #o% computadore%" Lo% tre% u%uario% ante% mencionado% nece%itaran pro-eer una contra%ea cuando uti#icen e# uti#itario %udo" E0 "r)G(A, 0,g Otra caracter'%tica de %udo e% %u capacidad de e%cribir a# regi%tro o bit/cora (#og*" 4# uti#itario %udo puede regi%trar a cua#,uiera ,ue uti#ice o intente uti#i0ar %udo + no tan %o#o e# nombre de u%uario %ino adema% cua#e% comando% e##o% e7ecutaron" Por de&ecto3 %udo u%a %+%#og3 pero e%te puede %er cambiado para ,ue regi%tre en un archi-o e%pec'&ico propio" Por,ue %udo permite e# monitoreo e%pec'&ico de# u%o de #o% pri-i#egio% de root para e7ecutar comando%3 e%te e% idea# para un admini%trador 7unior de %i%tema ,ue u%ted tiene ba7o %u %uper-i%in + #e de#ega tarea%" Cua#,uier error hecho por un admini%trador de %i%tema% puede %er ra%treado" E5e)u!" +, #u+, Ahora ,ue e# archi-o /etc/%udoer% e%ta con&igurado correctamente3 e% po%ib#e comen0ar a uti#i0ar e# programa %udo" 4n e# primer e7emp#o3 e# u%uario ra&+ #i%tar/ e# contenido de# directorio /root/ con e# comando #% r"'-X#!+g,I')0+Q #u+, 0# /r,,!/ P"##M,r+: bbbbbbbbbb +(re)!,r(,$1 "r)G(A,I!%! )"r!"I,+! La #i%ta de# directorio /root/ pudo %er mo%trada a tra-5% de# programa %udo" Note ,ue a# u%uario %e #e re,uiri ingre%ara %u contra%ea" 4%ta e% #a contra%ea de# u%uario ra&+" Una -e0 ha %ido ingre%ada #a contra%ea3 %udo no #e har/ pedido% po%teriore% de contra%ea por un tiempo de J minuto%" Durante e%e tiempo3 e% po%ib#e rea#i0ar todo% #o% comando% a #o% cua#e% e# u%uario ha %ido autori0ado %in tener ,ue ingre%ar #a contra%ea nue-amente" Por e7emp#o3 %i e# u%uario ra&+ ha rea#i0ado e# comando mo%trado anteriormente3 e# no tendr/ ,ue reingre%ar una contra%ea3 como e% mo%trado a continuacin r"'-X#!+g,I')0+Q #u+, )/ [/)"r!"I,+! /r,,!/ r"'-X#!+g,I')0+Q #u+, 0# /r,,! +(re)!,r- '(0e '(0e@ &-2(0e Como &ue mencionado anteriormente3 e%te periodo de tiempo permanecer/ por #o% pr.imo J minuto% de%pu5% de %er ingre%ada #a contra%ea3 -encido e%te tiempo de gracia3 e# u%uario ra&+ tendr/ ,ue ingre%ar #a http //!!!"codigo#ibre"org $;G
Antonio Perpian
contra%ea nue-amente para a%' poder rea#i0ar otra operacin ,ue nece%ite #o% pri-i#egio% de %udo" 4# %iguiente e7emp#o mue%tra e# &ormato b/%ico u%ando %udo" %udo no permitir/ accione% %in autori0acin3 como e% mo%trado a continuacin " (4"0X#!+g,I')0+Q #u+, r& $r' /b S,rr-F u#er " (4"0 (# ,! "00,M !, e%e)u!e cr& $r' /bc "# r,,! , #erAer R(e#g,# +e Segur(+"+ ), #u+, Poco% prob#ema% de %eguridad han ocurrido con %udo" Uno de e%o% ,ue %i ocurri e%ta documentado en e# %itio de C48) en http //!!!"cert"org/ad-i%orie%/CA>$OO;>$$"htm#" 4%ta p/gina de%cribe un agu7ero de %eguridad en e# cua# programa% din/micamente en#a0ado% %on -u#nerab#e% a prob#ema% de %eguridad cuando %e e7ecutan a tra-5% de %udo" )ambi5n ha+ prob#ema% de %eguridad con #a% #ibrer'a% g#ibc + #o% programa% u%ado% para otorgar #o% pri-i#egio% + permi%o% de# 1UID/1GID para otro% programa%3 #o% cua#e% pueden adem/% inc#uir %udo" La -er%in $"J"Op@ de %udo rea#i0ada por 8ed9at (=er%in actua# e% #a $"A"@p* permit'a a un u%uario copiar un programa (por e7emp#o e# /u%r/bin/-i* a otro programa a# cua# e# u%uario tiene acce%o con %udo + uti#i0ar e%te programa para e&ectuar a#g2n dao a# %i%tema" Por e7emp#o3 %i e# archi-o a# ,ue -i &ue copiado &uera capa0 de e7ecutar%e a tra-5% de %udo3 e# u%uario pudie%e abrir un %he## de root + editar archi-o re%tringido% (como por e7emp#o e# /etc/pa%%!d*" Aun,ue mucho% de e%o% agu7ero% de %eguridad %on -ie7o%3 o ap#ican a %i%tema% ,ue no %on GNU/Linu.3 e% importante -eri&icar #o% %itio% !eb de %eguridad (como e +a mencionado http //!!!"cert"org* por cua#,uier prob#ema de %eguridad ante% de de%cargar3 in%ta#ar o uti#i0ar un programa" C, '(gur"r u U#u"r(, /"r" u#"r #u+, $"> 4dite e# archi-o /etc/%udoer% como u%ted debe u%ar e# editor -i%udo3 uti#itario +a mencionado ,ue re-i%a por %u% errore% de %inta.i% + ,ue no ma% de una per%ona e%te acce%ando a# archi-o %imu#t/neamente" ,&4reRu#u"r(, ALL ] /#4( /#Gu!+,M $D ,M ;"> Ahora edite e# archi-o /etc/%+%#og"con& para habi#itar e# ingre%o de %udo + agregar #a% %iguiente% #inea% a# &ina# de# archi-o W Uti#itario %udo W 8egi%tra #o% intento% de u%o e.ito%o% + &raca%ado% de %udo a# archi-o /-ar/#og/%udo #oca#;"Y /-ar/#og/%udo ?"> U%ando touch re&re%,ue #a &echa de acce%o de# archi-o ,ue e%peci&ic en e# %+%#og"con&3 #uego ingre%e a# %i%tema como un u%uario no programado en %udoer% para u%ar %udo e intente e7ecutar un comando pri-i#egiadoI #uego de#e un -i%ta0o a# archi-o #og para -eri&icar ,ue todo #o con&igurado anteriormente e%ta &uncionando Z !,u)G /A"r/0,g/#u+, L,g( : ",+ P"##M,r+: Q #u+, /#4( /#Gu!+,M $D ,M Z)"! /A"r/0,g/#u+, Cue !"# +e Segur(+"+ Cuenta% de u%uario% no a%egurada% apropiadamente %on una &uente primaria por e# cua# #o% atacante% acce%an a# %i%tema" Kucho% prob#ema% potencia#e% pueden %er pre-enido% con un mane7o cuidado%o de #a% cuenta% de http //!!!"codigo#ibre"org $;$
Antonio Perpian
u%uario%3 inc#u+endo una buena %e#eccin de contra%ea%3 po#'tica% e&ecti-a% ,ue &orta#e0can #o% h/bito% de #o% u%uario% + #a a%ignacin de permi%o% apropiado%" )odo% e%o% re,uerimiento% deben %er a#can0ado% para #ograr bueno% ni-e#e% de %eguridad" Comp#icar todo e# proce%o nece%ario para ,ue un intru%o pueda poner en rie%go nue%tra %eguridad e% e# &actor principa# por #a ,ue toda% e%a% tarea% deben de cump#ir%e para mantener a# m'nimo e# potencia# de #a entrada de un intru%o3 a%' e-itando incon-eniente% para nue%tro% u%uario% + #o% %er-icio% ,ue o&rece nue%tra in&rae%tructura tecno#gica ,ue hemo% %ido contratado% para mantener" La %eguridad de #a% cuenta% #oca#e% e% una de #a% parte% ma% importante de todo% #o% %i%tema% de %eguridad" 4n e%ta %eccin3 e.p#oraremo% -ario% m5todo% de a%egurar una cuenta #oca#" Lo% tema% indi-idua#e% #e a+udar/n a &ormar una e%trategia tota# para a%egurar %u %i%tema" 4%to% tema% inc#u+en Contra%ea% 4# archi-o /etc/pa%%!d 1hado! Pa%%!ord% 4n-e7ecimiento de #a% contra%ea% )entati-a% de Ingre%o% Fraca%ada% 8uta de b2%,ueda de comando% (PPA)9* 8e%tringiendo Ingre%o% de root 1he##% 8e%tringida% Konitoreando Cuenta% Faci#idad de Ingre%o a un 1i%tema Abierto a 4-ento% Contro# de Acce%o a Archi-o% Kane7o de 1a#-aguardar Archi-o% Ambiente% de 1eguridad :#o,ueo de 1eguridad C, !r"#eH"# La% contra%ea% %on una de #a% &uer0a% ba%e de #a %eguridad b/%ica en Linu." 1i #a contra%ea e% comprometida3 e# mode#o de e%,uema de %eguridad b/%ico e% a&ectado" Para re&or0ar #a %e#eccin de una buena contra%ea3 u%ted nece%ita hacer ma% ,ue %o#o %e#eccionar #o% -a#ore% apropiado% en una po#'tica de u%uario" U%ted tambi5n debe de a+udar a #o% u%uario% a e#egir contra%ea% &uerte%" La% contra%ea% &uerte% contienen por #o meno% tre% de #o% %iguiente% tipo% de contenido Letra% Ka+2%cu#a% Letra% Kin2%cu#a% N2mero% Caractere% ,ue no %on a#&anum5rico% como %on #o% %igno% de puntuacin Una contra%ea idea# debe de e%tar compue%ta por ocho caractere% + %er un grupo de #etra% + n2mero% a#eatorio%3 + ,ue #o% caractere% %ean interca#ado% entre ma+2%cu#a% + min2%cu#a%" La% contra%ea% &uerte% deben de obedecer #a% %iguiente% #etra% No u%ar nombre% comune% o %obrenombre% No u%ar in&ormacin per%ona#3 e7emp#o &echa de nacimiento" Puede repetir #etra% o d'gito% en #a contra%ea" Uti#ice por #o meno% ocho caractere%" http //!!!"codigo#ibre"org $;;
Antonio Perpian
Pien%e como un crac6er% + e-ite e%,uema% ,ue pueden e.poner ,ue #a contra%ea %ea adi-inada o encontrada" (47emp#o 4%cribir #a contra%ea en un pape# + de7ar#o en una me%a o pegar#o en una pared*"
La% contra%ea% comune% %on t'picamente #o% nombre% de un &ami#iar o de #a pare7a3 o una pa#abra a #a ,ue una per%ona %iempre menciona o con #a cua# %e %iente identi&icada 4# prob#ema de contra%ea% como e%ta% e% #a -u#nerabi#idad de un ata,ue de diccionario o a#guien tratando de hacer a#guna% adi-inan0a% educada% en e# prompt de #a contra%ea" La% contra%ea% de #a% per%ona% tienden a e#egir %o#o un pe,ueo porcenta7e de #a% po%ib#e% combinacione%" 4%to #e permite a un crac6er e# ata,ue por diccionario en -e0 de un generador de caractere% a#eatorio%3 + u%ted ,uedar/ %orprendido con e# a#to porcenta7e de acierto%" GNU/L( u% - 0"# C, !r"#eH"# La in&ormacin de #a% contra%ea% encriptada% e% a#macenado en e# archi-o ##amado /etc/%hado!" 4%te archi-o debe de %er mantenido en un a#to e%tado de %eguridad3 con permi%o% de %o#o acce%o a# root" 4%te debe tambi5n %er propiedad de# u%uario de ma% a#ta 7erar,u'a en e# %i%tema3 root" GNU/Linu. tiene e%encia#mente do% categor'a% de u%uario% en e# %i%tema U#u"r(,# ,r+( "r(,# - U#u"r(,# /r(A(0eg("+,#I A#guna% -ece% #o% u%uario% pri-i#egiado% %on ##amado% incorrectamente %uperu%uario%" 8ea#mente3 #a 2nica cuenta de# %uperu%uario (root* #e pertenece a# u%uario identi&icado con e# n2mero de UID cero en e# %i%tema" GNU/Linu. e%tab#ece #a% di&erencia% entre u%uario% de e%ta manera cuando %e crea e# u%uario en e# %i%tema3 %e #e a%igna un Identi&icador Rnico (UID* a #a nue-a cuenta de u%uario" 4%te n2mero comien0a de%de cero3 + e% e# n2mero ma% pe,ueo (n2mero de ma% a#to pri-i#egio* e# ,ue %e #e e% a%ignado a# u%uario root" 8OO) puede e7ecutar cua#,uier programa3 abrir cua#,uier directorio3 e.aminar cua#,uier archi-o3 cambiar #o% atributo% de cua#,uier ob7eto en e# %i%tema + rea#i0ar mucha% otra% &uncione% con pe,uea% o %in re%triccin a#guna3 %o#o #a% re%triccione% de #gica3 como obedecer #o% %i%tema% de archi-o% de %#o #ectura" 4# ob7eti-o de #o% crac6er% en #o% %i%tema% GNU/Linu. + UNiX e% obtener #a contra%ea de root" 8OO) e% e# propietario de# archi-o /etc/pa%%!d" 4# archi-o puede %er #e'do por todo% #o% u%uario% en e# %i%tema para habi#itar mucha% uti#idade% e in&ormacione% de autenti&icacin importante% de cada u%uario" Por #o tanto3 cua#,uiera en un %i%tema GNU/Linu. puede copiar e# contenido de e%te archi-o + determinar cua# campo contiene #a contra%ea encriptada" Luego cua#,uiera puede e7ecutar una %erie de prueba% para determinar e# re%u#tado de #a cadena de encriptacin de una contra%ea e#egida + comparar#a con e# contenido de# archi-o /etc/%hado!" A%'3 #a e#eccin de una contra%ea e% importante para e# primer ni-e# de %eguridad en todo% #o% %i%tema% + GNU/Linu. no e% di&erente" I&/0e&e !" +, C, !r"#eH"# 2uer!e# 4n #a ma+or'a de #o% ca%o%3 &omentar h/bito% de buena% contra%ea% no e% %u&icienteI u%ted debe de animar a #a e#eccin de una buena contra%ea" Una buena e#eccin de contra%ea e% a,ue##a ,ue e% di&'ci# de recordar3 di&'ci# de adi-inar + e% re%i%tente ha%ta un bruta# ata,ue como #o e% e# ata,ue de diccionario" No ha+ manera e&iciente de ,ue un crac6er de%cubra una buena contra%ea" De%a&ortunadamente3 #a me7or contra%ea e% a,ue##a ,ue e% di&'ci# de recordar" La ma+or'a de #a% per%ona% tienen ma% de una contra%ea3 #a% cua#e% %on e#egida% de a#go b/%ico ,ue a #a% per%ona% %e #e% re%u#te di&'ci# de o#-idar" La me7or manera de cump#ir e%to e% re,uiriendo contra%ea &uerte%" Como di%cutimo% anteriormente3 una contra%ea &uerte u%a por #o meno% ocho caractere%3 no contiene ninguna parte de #o% nombre% de #o% u%uario% + u%a por #o meno% tre% de #a% %iguiente% cuatro caracter'%tica% #etra% ma+2%cu#a%3 #etra% min2%cu#a%3 n2mero% + caractere% no a#&anum5rico% como #o% %igno% de puntuacin" http //!!!"codigo#ibre"org $;?
Antonio Perpian
E0 Ar)G(A, /e!)//"##M+ Cuando %e di%cute #a %eguridad de #a% cuenta% en GNU/Linu.3 u%ted debe entender #a %eguridad de #a% contra%ea% en GNU/Linu." 4%ta compren%in re,uiere #a -eri&icacin de# &ormato de# archi-o de contra%ea%" U%ted puede obtener #o e%pec'&ico para #a imp#ementacin de# &ormato contra%ea% uti#i0ando e# %iguiente comando &" J /"##M+ 4# archi-o pa%%!d contiene -ario% campo%3 #o% cua#e% %on e.p#icado% a continuacin
C"&/, L,g( N"&e E )r-/!e+ P"##M,r+ UID GID U#er N"&e H,&e SGe00 S(g ('()"+, , U#, La cadena actua# ,ue repre%enta ,ue u%uario e%ta en e# %i%tema" 4n GNU/Linu.3 #a contra%ea e% encriptada u%ando un a#goritmo D41 o KDJ a#tamente modi&icado + e# re%u#tado e% a#macenado" Unico n2mero de identi&icacin de# u%uario" N2mero de identi&icacin de# grupo de# u%uario" 4# nombre actua# de# u%uario" 4# directorio home por de&ecto (u%ua#mente propiedad de# u%uario*" La inter&a0 de# %he## program/tica por de&ecto"
La% contra%ea% en e# archi-o pa%%!d %on encriptada%" tambi5n e% po%ib#e a#macenar #a% contra%ea% en un archi-o %eparadoI e%to e% ##amado contra%ea %hado! (%hado! pa%%!ord*" 4%ta t5cnica a%egura ,ue mientra% e# ni-e# de acce%o de #ectura de# u%uario e% mantenido3 e# contenido de# campo encriptado no e% de%p#egado" 4%ta t5cnica ob#iga a ,ue %e tenga ,ue uti#i0ar un programa para crac6ear contra%ea% de%de un u%uario norma#" Un u%uario ,ue gana acce%o a root puede e%tar toda-'a en #a di%po%icin de crac6ear contra%ea%" C, !r"#eH"# SG"+,M >SG"+,M P"##M,r+? La% contra%ea% %hado! %on un reemp#a0o para #a% uti#idade% ,ue %on u%ada% para crear + mantener #a con&iguracin de #a %eguridad %obre #o% u%uario% de un %i%tema" La% contra%ea% encriptada% e%t/n ubicada% en /etc/%hado! en -e0 de /etc/pa%%!d" 1hado! tambi5n pro-ee rea#ce de #a &unciona#idad para #a admini%tracin de #a% contra%ea%" A#guna% de #a% caracter'%tica% de %hado! inc#u+en La% contra%ea% codi&icada% %on %o#o acce%ado% por root" La in&ormacin de #a% cuenta% de #o% u%uario% pueden %er de%tinada% a en-e7ecer3 e%to %igni&ica ,ue cada cierto tiempo #o% u%uario% %e -en en #a ob#igacin de cambiar #a% contra%ea%3 como tambi5n #a% cuenta% ,ue e.piran de%pu5% de un periodo de tiempo pueden %er en-iada% a una ba%e tempora#" 1e #e re,uerir/ a #o% u%uario% a ,ue creen buena% contra%ea%" Ke7orar #a% uti#idade% para #a admini%tracin de #a% cuenta% + contra%ea%" Un archi-o de con&iguracin para &i7ar e# #ogin de&au#t (/etc/#ogin"de&%*" A,u' %e mue%tra un e7emp#o de como debe #ucir e# archi-o /etc/%hado!
root P$P!HHA1PX%PO7a&h!DdUtAK.iAp;!/N1/ $;O@H G ha#t Y OAOA G operator Y OAOA G %hutdo!n Y OAOA G %+nc Y OAOA G bin Y OAOA G daemon Y OAOA G adm Y OAOA G #p Y OAOA G po%tma%ter Y OAOA G man Y OAOA G gue%t Y OAOA G
$;@
Antonio Perpian
nobod+ Y OAOA G aod P$PtB,CFOm%POOKKF7ihI?<9g0Dpb!6=O$ $;O@H G OOOOO A
La% caracter'%tica% de #a contra%ea %hado! e% imp#ementado por #a creacin de un archi-o ##amado /etc/%hado!3 e# cua# e% propiedad de root + %o#o puede %er acce%ado por e#" 4# archi-o anteriormente mo%trado /etc/pa%%!d e%ta toda-'a -i%ib#e3 pero e# %egundo campo %iempre e% reemp#a0ado por de&ecto por una entrada3 #a cua# nunca e% e# re%u#tado de ninguna encriptacin" E Ae5e)(&(e !, +e 0" C, !r"#eH" 4n e%te tiempo3 podero%o% hard!are e%t/n acortando e# tiempo re,uerido para e7ecutar un programa ,ue adi-ina #a% contra%ea%" Una manera de agregar ni-e# adiciona# de %eguridad en contra de ata,ue% de contra%ea% en %i%tema% GNU/Linu. e% cambiando #a% contra%ea% ma% a menudo" Ku+ a menudo3 #o% u%uario% no rea#i0an e%o% cambio%" A%'3 un mecani%mo de &or0ar un cambio regu#ar e% de%eado" 4%ta t5cnica en ##amada en-e7ecimiento de #a% contra%ea% + e%ta di%ponib#e en mucho% de #o% %i%tema% GNU/Linu." 4# en-e7ecimiento de #a% contra%ea% puede %er habi#itado como una &uncin de# admini%trador de %i%tema% para contro#ar e# acce%o a #o% u%uario%" 4n #o% %i%tema% GNU/Linu.3 e# en-e7ecimiento de #a% contra%ea% e% mane7ado por e# comando chage" Note ,ue #a contra%ea %hado! debe de %er habi#itada en orden de ,ue e# en-e7ecimiento de #a% contra%ea% pueda e&ectuar%e" 4%te comando toma un n2mero en #a% opcione% de #a #inea de comando% para contro#ar #o% di&erente% a%pecto% de# %i%tema de en-e7ecimiento de #a contra%ea para un u%uario en particu#ar" La% opcione% %on de%crita% a continuacin
O/)(* >m >K >< >4 >d >I ># S(g ('()"+, 4%te e% e# n2mero m'nimo de d'a% entre #o% cambio% de contra%ea" Un -a#or de cero %igni&ica ,ue e# u%uario debe de cambiar %u contra%ea en cua#,uier momento" 4%te e% e# n2mero m/.imo de d'a% entre #o% cambio% de contra%ea%" 4%te e% e# n2mero de d'a% ante% de ,ue e# u%uario reciba un men%a7e de ad-ertencia de ,ue %u contra%ea %e -encer/ + ,uedar/ in-a#ida" 4%ta e% #a &echa de e.piracin" De%pu5% de e%te d'a3 #a cuenta no podr/ %er u%ada" 4%te e% e# d'a de# u#timo cambio3 igua# ,ue e# n2mero de d'a% de%de #a 5poca de ,ue en GNU/Linu. (4nero J3 $OO$* #a contra%ea &ue cambiada #a u#tima -e03 o e%te puede %er e%peci&icado en &ormato DD/KK/AA" 4%te e% e# periodo inacti-o" 1i una contra%ea ha e.pirado por mucho% d'a%3 %e de%habi#ita e# u%uario" 4%te #i%ta #a con&iguracin actua#" 4%te e% u%ado por #o% u%uario% %in pri-i#egio% para determinar cuando %u contra%ea o %u cuenta de u%uario e.piraran"
Por e7emp#o e# comando Z )G"ge $& @ $M E7 $W J ",+ Le re,uiere a# u%uario aod ,ue cambie %u contra%ea en no meno% de ; o ma% de ?G d'a%3 + e%te #e ad-ierte J d'a% ante% de ,ue e# cambio %ea nece%ario" 4%te e% un e7emp#o de# u%o de chage para aprender como %e con&igura e# en-e7ecimiento de #a contra%ea para e# u%uario aod + en e%te %egundo podemo% #i%tar
Q )G"ge $0 ",+ M( (&u&: MC%(&u&: W"r ( g: I ")!(Ae: L"#! CG" ge: P"##M,r+ E%/(re#: 7 \\\\\ P $1 Ju 1@F @77J NeAer
$;J
Antonio Perpian
P"##M,r+ I ")!(Ae: A)),u ! E%/(re#: NeAer NeAer
Cue !"# +e0 S(#!e&" La% cuenta% pri-i#egiada% %on re&erida% como #a% cuenta% de# %i%tema%" 4%ta% tambi5n %on propiedade% de# root o por cua#,uier p%eudo u%uario con un ba7o n2mero de UID" Un p%eudo u%uario e% a,ue# ,ue e%ta a%ociado a un #ogin3 pero nunca pertenece a una per%ona" 4% importante contro#ar e# acce%o a e%o% u%uario%" 4.amine %u% archi-o% /etc/pa%%!d o /etc/group" 4# u%uario bin + e# grupo adm %on comune% por de&ecto" 4%ta% cuenta% + otra% ,ue e7ecutan proce%o% de %er-idore%3 como nobod+3 no tendr/n derecho de #ogin + + %o#o podr/n tener e# pri-i#egio m'nimo re,uerido para rea#i0ar %u &uncin" 4%to% principio% %on tambi5n ##amado% #o% principio% de #o% meno% pri-i#egiado% + ap#ican tanto para #a% cuenta% de# %i%tema% como para #a% cuenta% de #o% u%uario%" I !e !,# +e I gre#, "0 S(#!e&" #( E%(!, )odo% #o% %i%tema% GNU/Linu. pueden notar intento% de ingre%o a# %i%tema %in 5.ito" Lo% ingre%o% &raca%ado% %on regi%trado% por e# %i%tema de #og en e# archi-o /-ar/#og/me%%age%" 4%ta &aci#idad e% mane7ada en #a% di&erente% di%tribucione% de GNU/Linu.3 a#guna% de e%ta% di%tribucione% %on con&igurada% para a#macenar e%ta in&ormacin en /-ar/#og/%ecure" Para #oca#i0ar e%to% men%a7e%3 u%e e# %iguiente comando3 reemp#a0ando /-ar/#og/me%%age% con /-ar/#og/%ecure %i %u di%tribucin ha %ido con&igurada como ta#
Z gre/ 0,g( /A"r/0,g/#e)ure Nun ;B $H G@ $$ %tdgo"&c#d #ogin(pamguni.*eAB@Of %e%%ion opened &or u%er root b+ (uidXG* Nun ;B $A $J ;G %tdgo"&c#d #ogin(pamguni.*eAB@Of %e%%ion c#o%ed &or u%er root Nun ;B $A $J ;J %tdgo"&c#d #ogin(pamguni.*eOGO?f chec6 pa%%I u%er un6no!n Nun ;B $A $J ;J %tdgo"&c#d #ogin(pamguni.*eOGO?f authe &ai#ureI #ognameX uidXG euidXG tt+X/de-/-c/$ ru%erX rho%tX Nun ;B $A $J ;B %tdgo"&c#d #ogineOGO?f FAIL4D LOGIN $ F8OK /de-/-c/$ FO8 UN\NO<N3 Auth &ai#ure Nun ;B $A $J ?@ %tdgo"&c#d #ogin(pamguni.*eOGO?f %e%%ion opened &or u%er 6niba#i%m b+ (uidXG* Nun ;B $O JJ G? %tdgo"&c#d #ogin(pamguni.*eAB@Bf %e%%ion opened &or u%er root b+ (uidXG*
Ru!" +e B=#.ue+" 4n GNU/Linu.3 #o% comando% &recuentemente u%ado% %on -eri&icado% por #a b2%,ueda en un grupo de directorio% e%peci&icado% por una -ariab#e de ambiente ##amada PPA)9 (o Ppath cuando %e u%a c%h*" 4% com2n inc#uir e# directorio actua# en una ruta para ,ue #o% comando% #oca#e% puedan %er re&erenciado% %in nece%idad de dar un nombre de ruta e.ten%o" Para indicar e%ta ruta3 a menudo #o% u%uario% u%an #a de%ignada por GNU/Linu. L"M para e# directorio actua#" A#guna% -ece%3 %in embargo3 un u%uario puede cambiar #o% directorio% a un directorio g#oba# de e%critura com2n (ta#e% como /tmp3 /-ar/tmp o /u%r/tmp*" 1i una re&erencia a L"M e% inc#uida como parte de ambiente de# %he##3 #uego #a re&erencia a un %cript de %he## o un comando com2n ,ue e%ta ubicad en e%te directorio g#oba# puede %er interpretado por un %he## como #a re&erencia a una -er%in &a#%a de# programa #oca#i0ado en e# mi%mo directorio" 4%te comando puede contener cdigo ,ue3 %in e# conocimiento de# u%uario 3 puede %er e7ecutado con e&ecto% #atera#e% de%a&ortunado% )a#e% programa% %on conocido% como tro+ano% ()ro7an 9or%e*" La ruta de b2%,ueda e% u%ua#mente &i7ada en #a %he## :ourne o \orn" QPATH]/"!G "&e1:/"!G "&e@:/"!G "&eE: Qe%/,r! PATH 4n e# %he## C o %imi#are% a e%te3 %e hace de e%ta manera 8#e! /"!G ] >/"!G "&e1 /"!G "&e@ /"!G "&eE? 4n GNU/Linu.3 ta#e% ruta% pueden %er inc#uida% en e# archi-o "pro&i#e3 e# cua# debe %er parecido a #o %iguiente http //!!!"codigo#ibre"org $;H
Antonio Perpian
PATH]/4( :/u#r/4( :/#4( :QHOME e%/,r! PATH De nue-o3 cuando %e uti#ice #a %he## C3 e# archi-o "c%hrc (o "#ogin* puede contener una #inea ,ue %ea parecida a #o %iguiente P"!G ] >/4( /u#r/4( /#4( QHOME? 4n GNU/Linu.3 #o% archi-o% comien0an con #a notacin de# punto (no debe %er con&undido con e# L"M de# pathname* %on conocido% como archi-o% ocu#to%" La ma+or'a de #o% archi-o% de Inicia#i0acin %on ocu#to% para ,ue no %ean -i%ib#e% en e# directorio home de# u%uario" A%'3 %i u%ted &recuentemente nece%ita re&erenciar un archi-o en e# directorio home de# u%uario (directorio por de&ecto* creando un directorio ##amado bin + a#o7ando #o% e7ecutab#e% per%ona#e% ah'3 crea un buen %entido de %eguridad" 1uponga ,ue e# pathname (nombre de ruta* L"M &ue inc#uido en un archi-o de Inicia#i0acin de# %he##" tambi5n a%umimo% ,ue e%te u%uario no e%ta bien documentado en cue%tin de #a buena pr/ctica de #a %eguridad e inad-ertidamente han inc#uido e%te nombre de ruta en #a -ariab#e de ambiente PA)9" Ahora imagine ,ue e# e7ecuta &recuentemente e# comando !ho" A%uma ,ue ma% ade#ante e# u%uario ha creado e# %iguiente archi-o Q !,u)G /!&//!e#!'(0e Luego3 entre a# %iguiente programa + gu/rde#o como un archi-o de nombre ,uien"c W inc#ude h%tdio"hc main (* _ %+%tem (T/u%r/bin/!hoT*I %+%tem (T/%bin/rm /tmp/te%t&i#e;c/de-/nu##T*I ` Ahora compi#e e# programa u%ando e# %iguiente comando P gcc >o ,uien ,uien"c 4# u%uario con&iado puede tener e%te per&i# PA)9X" /bin /u%r/bin /%bin P9OK4 e.port PA)9 Ahora imagine ,ue e# u%uario entra #o %iguiente P ,uien =eri&i,ue %i puede acceder e# archi-o3 e# ,ue 7u%tamente ha% creado3 ##amado ,uien" 4# pr.imo e7ercicio contiene otro e7emp#o de un tro+ano ,ue mue%tra e# pe#igro de inc#uir L"M como un componente de ruta de# ambiente" E5er)()(,: R,4"r ), !r"#eH" +e r,,! ), u !r,-" , No %e pro-een %o#ucione% para e%te e7ercicio" $"> Cambie a %u directorio home" 4ntre e# %iguiente cdigo en un archi-o ##amado %u"c + proceda a compi#ar#o uti#i0ando e# compi#ador GCC3 ,ue debe e%tar +a in%ta#ado" (1i u%ted #o de%ea e7ecutar ma% de una -e03 u%ted debe hacer una copia ##ame#a %u;"c por ,ue a# e7ecutar#o e%te %e borra"* http //!!!"codigo#ibre"org $;A
Antonio Perpian
/Y 4%te e% un programa tro+ano" A%umiremo% ,ue antonio e% una cuenta de u%uario rea#" Y A,u' e# ine%crupu#o%o programa ha %ido in%ta#ado como una uti#idad Y enma%carada como e# programa rea# %u" 4# programa %u e% u%ado a menudo Y para cambiar de una cuenta de u%uario a otra" 4%te e% otro u%uario e# cua# #a Y ma+or parte de# tiempo e% root" Note ,ue e%to traba7a de7ando a a#g2n u%uario Y ,ue tiene pri-i#egio% de root inc#u+a e%te programa como parte de %u ambiente" Y Y Lo ,ue e# programa hace e% preguntar por una contra%ea3 #uego ##e-ar a cabo" Y/ int main (* _ char bu&e$;Af3 pa%%!de;JfI %+%tem (T/bin/%tt+ >echoT*I /Y Apaga echoY/ print& (TPa%%!ord T*I /YPreguntar#e a# u%uario por %u contra%eaY/ %can& (TS%T3 pa%%!d*I /Y4%te dig'ta #a contra%eaY/ %+%tem (T/bin/%tt+ echoT*I /Y 4ncendemo% e# echo nue-amente como e%taY/ print& (TnnIncorrectannT*I /Y Le in&ormamo% a# u%uario ,ue &ue incorrecta3 %o#o para ,ue pare0ca natura#Y/ %print& (bu&3 T/bin/echo S% cc contra%"tmpT3 pa%%!d*I /Yguardamo% #a contra%ea ,ue dig'ta en e# archi-o contra%"tmpY/ %+%tem (bu&*I /Y8e%tab#ecemo% e# bu&&erY/ %+%tem (T/bin/rm %uT*I /Y4#iminamo% e# e7ecutab#eY/ e.it (G*I ` ;"> Ahora compi#e#o con Q g)) $, #u #uI)
?"> 4# directorio actua# (L"M* debe e%tar en en %u ruta de b2%,ueda de comando%3 PA)93 pero para e%ta prueba %imp#emente #o e7ecutaremo% con "/%u > root" @"> 47ecute %u mientra% e# comando anterior e%ta in%ta#ado en %u directorio actua#" J"> =eri&i,ue ,ue #a contra%ea de root ,ue entra%te e% ahora a#macenada en a# archi-o contra%"tmp" Re#!r( g(r e0 I gre#, +e r,,! Una manera de incrementar #a %eguridad de #a cuenta de root e% #imitar e# ingre%o directo a# %i%tema de con%o#a% -irtua#e% o tt+% como %on conocida%" GNU/Linu. contro#a e# ingre%o de root u%ando e# archi-o /etc/%ecurett+" 4# archi-o /etc/%ecurett+ debe de %er #egib#e + e%cribib#e %o#o por root" 4%te archi-o e% %imp#e3 en e# %imp#emente %e #i%tan #o% nombre% de di%po%iti-o donde #o% ingre%o% de root %on permitido%" Por e7emp#o3 #imitar e# ingre%o de root a# di%po%iti-o de #a con%o#a3 e%te archi-o %o#o nece%ita contener una #inea %imi#ar a #a %iguiente ), #,0e Para -eri&icar %u archi-o /etc/%ecurett+3 e7ecute e# %iguiente comando W cat /etc/%ecurett+ tt+$ tt+; tt+? tt+@ tt+J tt+H 4%te e7emp#o permite e# ingre%o de root en #a% primera% %ei% con%o#a% -irtua#e%3 e%t/ndar en #a ma+or'a de #a% di%tribucione% GNU/Linu." SGe00# Re#!r( g(+"# Otra opcin di%ponib#e para e# admini%trador de %i%tema% e% conceder acce%o a #o% u%uario% e.terno% por -'a de #a% %he##% re%tringida%" Un e7emp#o de e%te tipo de %he## %er'a #a r6%h3 #a cua# e% una -er%in re%tringida de# %he## \orn" 4%ta permite #a ma+or'a de #a% caracter'%tica% de %he## e.cepto ,ue http //!!!"codigo#ibre"org $;B
Antonio Perpian Limitado redireccionar #a entrada + #a %a#ida (e7emp#o3 c + cc*" Limitado cambiar directorio%" La% -ariab#e% de# ambiente no pueden %er cambiada%" La% ruta% a #o% comando% %on -eri&icada% (PA)9*"
4%ta% %he##% a menudo re%u#tan 2ti#e% + pueden pre-enir a #o% u%uario% de ,ue e7ecuten programa% inad-ertidamente + ,ue crear incon-eniente% de %eguridad" M, (!,re" +, 0"# Cue !"# Lo% admini%tradore% o o&icia#e% de %eguridad tambi5n monitorean con%tantemente #a% cuenta% de #o% u%uario% por patrone% de u%o %o%pecho%o3 co%a% como un u%uario ,ue e%tando de -acacione% + aparece a2n acti-o o cuenta% de u%uario e7ecutando c/#cu#o% computaciona#e% de%proporcionado% comparado con %u% a%ignacione% a a# hi%toria# de %u% #abore%3 uti#i0ando mucho% recur%o%3 como e% e# u%o de memoria ram + e%pacio en di%co" 4# archi-o utmp e% donde #a in&ormacin de #a %e%in e% archi-ada en un #og" 4# archi-o !tmp e% donde #a in&ormacin de contabi#idad e% e%crita a# #og" 4%te contiene 4# nombre de# u%uario + e# UID 4# n2mero de #a termina# (tt+* 4# n2mero de# di%po%iti-o 4# ID de# proce%o (PID* 4%tado de %a#ida (Para a+udar a# tiempo tran%currido* Otra in&ormacin pertinente La in&ormacin ,ue uno recoge de e%o% archi-o% e% por #o norma# proce%ada por #o% comando% #a%t3 !ho3 !rite + #ogin" U%ted tambi5n conoce donde %e origino #a %e%in" La integracin de e%ta in&ormacin en un monitoreo de cuenta% e7ercido diariamente puede %er mu+ 2ti# para detectar un patrn inu%ua#" 47ecutando e# comando #a%t #a in&ormacin de ingre%o de %i%tema% grabada W #a%t aod pt%/$ )ue Nun ;B ;$ ?? %ti## #ogged in aod pt%/G )ue Nun ;B $O JJ %ti## #ogged in aod pt%/G )ue Nun ;B $O JJ > $O JJ (GG GG* aod -c/; )ue Nun ;B $O JJ %ti## #ogged in root -c/$ )ue Nun ;B $O JJ %ti## #ogged in reboot %+%tem boot ;"H"$$"$; )ue Nun ;B $O J@ (G$ ?O* 6niba#i% -c/$ )ue Nun ;B $A $J > do!n (GG ;A* 6niba#i% G )ue Nun ;B $H G@ > $A @; (G$ ?A* root -c/$ )ue Nun ;B $H G@ > $A $J (G$ $$* reboot %+%tem boot ;"H"$$"$; )ue Nun ;B $H G@ (G$ ?B* 6niba#i% G )ue Nun ;B GB JB > GO JG (GG J;* root -c/$ )ue Nun ;B GB JA > do!n (GG J?* !tmp begin% 1un Nun $; $$ JO G; ;GGJ U%ted tambi5n puede e%peci&icar uno o ma% di%po%iti-o% como argumento% a# comando #a%t en orden de -i%ua#i0ar #a acti-idad de e%o% di%po%iti-o em particu#ar
Ur,,!X0,)"0G,#! " !, (,VZ 0"#! antonio pt%/G G"G <ed Feb ; ;G $? %ti## #ogged in
$;O
Antonio Perpian
antonio tt+$ G <ed Feb ; ;G $; %ti## #ogged in reboot %+%tem boot ;"H"?@"A>HH"&c$? <ed Feb ; ;G $; > ;G @A (GG ?J* antonio pt%/$ G"G <ed Feb ; $O ;; > $O @$ (GG $B* !tmp begin% 1at Dec ;J $J $; ;; ;G$G
4# comando #a%t tiene uno% cuanto% argumento% ,ue pueden %er 2ti#e% para -i%ua#i0ar #a in&ormacin con un poco ma% de deta##e3 para e%to #ea%e #a% pagina% man de e%te comando #a%t (man #a%t*" Pr,)e#,# +e C, !"4(0(+"+ La ma+or'a de #a% di%tribucione% de GNU/Linu. o&recen una manera &/ci# de auditar #o% proce%o% de# %i%tema" Lo% %o&t!are de contabi#idad de proce%o% pueden %er acti-ado% cuando e# %i%tema e% iniciado3 de e%ta manera toda #a in&ormacin de #o% comando% e% a#macenada" Lo% archi-o% re#e-ante% a #o% proce%o% de contabi#idad %on
/A"r/0,g//"))! 1i e%ta habi#itado3 e%te e% u%ado para auditar proce%o%" 4%te e% e# archi-o actua# de #og u%ado por e# proce%o de %o&t!are de contabi#idad" /u#r/#4( /"))!, 4%to e% u%ado para habi#itar o de%habi#itar e# %eguimiento de #o% proce%o% de# %i%tema" /u#r/4( /0"#!),&& 4%te e% e# programa para auditar #a in&ormacin grabada"
SerA(+,re# +e Reg(#!r,# +e A), !e)(&(e !, +e0 S(#!e&" Con #o% %i%tema% GNU/Linu.3 e# %+%#ogd e% un proce%o daemon (demonio* ,ue e% con&igurado para e%cuchar #a accin de #og por -ario% %i%tema% + otro% demonio%" Luego e%te regi%trar/ a# #og #a in&ormacin re,uerida en un archi-o centra# o repo%itorio para e# an/#i%i% por programa% &i#tro% de patrone% como %on a!63 grep + %ed" 4# uti#itario %+%#og tiene un archi-o de con&iguracin ##amado /etc/%+%#og"con&" 4%te archi-o contiene reporte% de di&erente% ni-e#e% como %on in&o3 ad-ertencia%3 urgencia% + critico" 4%te tambi5n contiene e# de%tino a# ,ue #a% re%pue%ta% deben de %er en-iada%3 ta# como a un archi-o o a un ho%t remoto" Un e7emp#o de# archi-o de con&iguracin e%
W Wauth3authpri-"Y WY"YIauth3authpri-"none Wcron"Y Wdaemon"Y W6ern"Y W#pr"Y Wmai#"Y Wu%er"Y Wuucp"Y W#oca#H"debug >/-ar/#og/auth"#og >/-ar/#og/%+%#og >/-ar/#og/cron"#og >/-ar/#og/daemon"#og >/-ar/#og/6ern"#og >/-ar/#og/#pr"#og /-ar/#og/mai#"#og >/-ar/#og/u%er"#og >/-ar/#og/uucp"#og >/-ar/#og/imapd"#og
La% p/gina% man de# %+%#og"con& pro-een una me7or in&ormacin en e# &ormato de e%te archi-o" L,)"0(6")(, e# A+()(, "0e# +e0 Ar)G(A, L,g A continuacin e%t/n a#guna% de #o% archi-o% #og ma% comune%3 u%ted puede encontrar por #o regu#ar en -ario% %i%tema% GNU/Linu. o di%tro%
/A"r/0,g/#u0,g /e!)/re&,!e /A"r/0,g/G!!/+ /A"r/0,g/ eM# 4n a#guno% %i%tema%3 e%to e% u%ado para regi%trar e# u%o de# comando %u" 4%to contiene in&ormacin de# u%o de UUCP" U%ted tambi5n puede encontrar in&ormacin en /-ar/%poo#/uucp"Admin" 4%te contiene #o% archi-o% #og de# %er-idor <eb3 inc#u+endo errore% como tambi5n acce%o a #a in&ormacin" 4%te contiene #o% archi-o% #og para e# demonio NN)P"
U%ted debe %iempre tambi5n tener cuidado + con%u#tar #o% #og% de -ario% %er-icio%3 inc#u+endo F)P3 1amba + http //!!!"codigo#ibre"org $?G
Antonio Perpian a%' %uce%i-amente3 para detectar acti-idade% inu%ua#e%"
E5er)()(, K$E: A#egur"r 0"# Cue !"# +e U#u"r(,# +e GNU/L( u% No %e pro-een %o#ucione% para e%te e7ercicio $" Ingre%e a# %i%tema con #a cuenta de root" ;" U%e #o% %iguiente% comando% para e.aminar e# e%tado actua# de #a% -ariab#e% de# -encimiento de #a% contra%ea% para %u cuenta Z )G"ge $0 U#u ,&4re +e 0,g( V ?" 4.perimente con #a e.piracin de #a contra%ea% de %u cuenta" Por e7emp#o3 &i7e #a cuenta para ,ue e.pire e# $ de enero de# ;G$;" 8e,uiera un d'a para pa%ar entre #o% cambio% + re,uiere ,ue %ea cambiada cada ;B d'a%3 ad-irtiendo ? d'a% ante% de ,ue #o% cambio% %ean nece%ario% Z )G"ge $& 1 $M @O $W E $E 71/71/@71@ U#u ,&4re +e 0,g( V @" Ob#igue a cambiar %u contra%ea inmediatamente Z )G"ge $+ 7 U#u ,&4re +e 0,g( V J" 4%te comando traba7a con #a con&iguracin de# u#timo d'a para e# cambio de %u contra%ea para ,ue %ea e# d'a G (G$ de 4nero de# $OAG*" 4%ta &echa e% %u&icientemente e.ten%a ante% de ,ue %u contra%ea ha##a e.pirado +3 a%'3 debe de %er cambiada" 1a#ga de# %i%tema + #uego ingre%e de nue-o a -er ,ue %ucede" E5er)()(, K$K: E%"&( e 0"# D(#/,#()(, e# +e0 A))e#, " r,,! 4n e%te e7ercicio3 u%ted notar/ archi-o% a #o% cua#e% e# acce%o de root debe de %er de&inido o cambiado" No %e pro-een %o#ucione% para e%te e7ercicio" $" 1a#ga de e# %i%tema e ingre%e de nue-o3 + e%criba una contra%ea e,ui-ocada a prop%ito" Int5nte#o una% poca% -ece%" Luego e.amine e# archi-o /-ar/#og/me%%age% para -eri&icar #o guardado de #o% &a##o% de acce%o a# %i%tema Z gre/ 0,g( /A"r/0,g/&e##"ge# ;" 4.amine e# archi-o /etc/%ecurett+ en %u% %i%tema" 4%te #i%tar/ un grupo de nombre% de di%po%iti-o% ta#e% como tt+$3 tt+;3 a%' %uce%i-amente" U%ando e# comando %u3 con-i5rta%e en root + mue-a e# archi-o /etc/%ecurett+ a un %itio de bac6up Z &A /e!)/#e)ure!!- /e!)/#e)ure!!-I+(#! ?" Ahora %a#ga de# %i%tema + trate de ingre%ar a# mi%mo como root" Due pa%oE Fina#mente3 ingre%e con %u ID per%ona#3 obtenga pri-i#egio% u%ando e# comando %u3 + reponga e# archi-o /etc/%ecurett+"di%t a# /etc/%ecurett+ Z &A /e!)/#e)ure!!-I+(#! /e!)/#e)ure!!C, !r,0 +e A))e#, " 0,# Ar)G(A,# GNU/Linu. e% un %i%tema operati-o mu#tiu%uarioI en e%te %i%tema cada cuenta de u%uario re,uiere permi%o% de archi-o% por %eparado" 4%to pre%er-a #a pri-acidad indi-idua# de #o% u%uario%" Lo% permi%o% tambi5n %on nece%ario% para e7ecutar comando% cr'tico%I %o#o a #o% u%uario% admini%trati-o% %e #e% debe de permitir apagar + encender %er-icio%3 o reiniciar e# %i%tema" Lo% programa% tambi5n re,uieren permi%o%" Por e7emp#o3 e# demonio de emai# debe de tener acce%o a toda% #a% cuenta% de emai# en orden de en-iar #o% nue-o% correo%" 4%to% di&erente% ni-e#e% de permi%o% genera#mente &uncionan correctamente pero oca%iona#mente pueden tener prob#ema%" L(#!" +e C, !r,0 +e A))e#, Lo% permi%o% tradiciona#e% de# %i%tema3 e# e%,uema propietario/grupo/otro% (UGO*3 permite a# admini%trador de %i%tema% de&inir #o% permi%o% de acce%o para tre% c#a%e% de u%uario e# propietario de# archi-o3 e# grupo ,ue e% propietario + e# re%to de #o% u%uario% de# %i%tema" Aun,ue e# e%,uema UGO e% %u&iciente para #a ma+or'a de #a% %ituacione%3 ha+ momento% en #a cua# no %on e&ecti-o%" La% #i%ta% de contro# de acce%o (ACL%* pro-een #a %o#ucin para e%ta% %ituacione% comp#icada%" La% ACL% pueden %obre%cribir e# e%,uema tradiciona# UGO para http //!!!"codigo#ibre"org $?$
Antonio Perpian
permitir ,ue u%uario% de%conocido% +/o grupo% acce%en a archi-o% e%pec'&ico% %in garanti0ar e# mi%mo acce%o g#oba#" C, '(gur")(* u&"#D 4# comando uma%6 e% u%ado para cambiar #o% permi%o% por de&ecto" Cuando un archi-o nue-o e% creado3 #o% permi%o% de# archi-o %on a7u%tado% por e# programa creador ba%ado en e# -a#or de #a -ariab#e de ambiente uma%6" La ma%cara de creacin como e% conocido e% #o ,ue permite ,ue cada archi-o o carpeta creado en GNU/Linu. tengan %u% permi%o% por de&ecto" 4# uma%6 e% un -a#or octa# de cuatro d'gito% de #o% cua#e% u%ua#mente %o#o %e u%an tre% e# primer d'gito repre%enta #o% -a#ore% po%ib#e% dentro de# octa# de# G>A para #o% permi%o% e%pecia#e% de 1tic6+>bit3 1etUID + 1etGID3 e%te ca%i nunca e% u%ado +a ,ue #a nece%idad de archi-o% + carpeta% con e%to% -a#ore% %on mu+ e%ca%o%3 e# %egundo d'gito repre%enta #o ,ue e% permitido para e# propietario de# archi-o3 e# tercer d'gito repre%enta #o ,ue e% permitido para e# grupo + e# cuarto repre%enta #o ,ue e% permitido para todo% #o% dem/% u%uario%" 4# uma%6 por de&ecto en mi Fedora $? e% e# GG;; para #a cuenta de root3 e# cua# da acce%o de #ectura/e%critura/e7ecucin a# propietario + %o#o #e permite a #o% otro% u%uario% e# acce%o de #ectura" Un uma%6 de GGG #e% dar/ a# propietario3 grupo3 + todo% #o% otro% u%uario% acce%o de #ectura/e%critura/e7ecucin" Un uma%6 AAA denegar/ e# acce%o a todo e# mundo" 4# -a#or de# uma%6 para #o% u%uario% norma#e% en mi Fedora e% de GGG;3 ,ue da #o% %iguiente permi%o% un archi-o + un directorio recien creado%
>r!>r!>r>> $ antonio antonio G Feb ; ;$ ?B archi-o dr!.r!.r>. ; antonio antonio @GOH Feb ; ;$ ?B directorio/
Lo% u%uario% no pueden %er re,uerido% para emp#ear cierto% uma%63 pero e# por e&ecto para #a% nue-a% cuenta% pueden %er &i7ada%" 4# uma%6 por de&ecto para archi-o% creado% e% u%ua#mente a7u%tado en #o% archi-o% "#ogin3 "pro&i#e o "ba%hrc" 8ecuerde3 e# uma%6 e% e# comp#emento de #a con&iguracin de #o% permi%o%" U#" +, A))e#, "0 S(#!e&" 4"#"+, e Gru/,# 4# acce%o a archi-o + directorio% pueden %er re%tringido% a -ario% grupo%" 4%to e% 2ti# cuando un gran n2mero de per%ona% nece%itan acce%o a# archi-o3 pero no cada u%uario puede tener acce%o a e%te" Agregando #o% u%uario% de%eado% a# mi%mo grupo3 e# admini%trador de %i%tema %o#o nece%ita &i7ar #o% permi%o% a -ario% archi-o% o directorio% una -e0 permitido #a cantidad de%eado de acce%o para e# grupo" R(e#g, +e Segur(+"+ +e /r,gr"&"# SUID Lo% programa% ,ue %e e7ecutan con #o% bit% de permi%o% e%pecia#e% 1UID %on un rie%go de %eguridad potencia# + deben de %er monitoreado mu+ de cerca" da ,ue e%to% programa% conceden pri-i#egio% e%pecia#e% a# u%uario ,ue e%ta e7ecut/ndo#o%3 #o% programa% in%eguro% no deben de %er in%ta#ado%" Lo% crac6er% pueden romper #o% programa% 1UID + #uego de7ar otro% programa% 1UID como bac6door3 %in ni %i,uiera e# prob#ema origina# ha+a %ido re%ue#to" 4# admini%trador de %i%tema% debe de e%tar enterado de todo% #o% programa% 1UID en e# %i%tema + monitorear cua#,uier acti-idad inu%ua# con e%to% programa%" 4# %iguiente programa puede %er u%ado para bu%car en un %i%tema de archi-o% par encontrar archi-o% con e# bit de 1UID + 1GID a7u%tado erootl#oca#ho%t kfW &ind /%bin >t+pe & >perm G@AJJ >o >perm ;AJJ cc permi%o%>e%pecia#e%"t.t 4# comando chmod puede %er u%ado para e#iminar #o% permi%o% 1UID en un programa %o%pecho%o" 1in embrago3 e% importante notar ,ue a#guno% programa% deben de tener permi%o% 1UID para &uncionar correctamente" De#4,r+"&(e !, +e0 Bu''er A#guna% ##amada% de %i%tema programada%3 ta#e% como %trco + %print&3 puede %er pe#igro%a% debido a #o% prob#ema% de de%bordamiento de bu&&er" A#guno% programa% o ##amada% a# %i%tema no -eri&ican errore% para #a http //!!!"codigo#ibre"org $?;
Antonio Perpian
entrada en un bu&&er" Cuando #a entrada dentro de# bu&&er e% ma% #arga ,ue e# mi%mo bu&&er3 pueden ocurrir prob#ema%" De%de ,ue una computador no di&erencia entre dato% + un programa3 e# dato entrante de%de e# de%bordamiento %e con-ierte en #a pr.ima in%truccin de# programa" Kientra% #a pi#a e%ta e%perando #a pr.ima in%truccin para %er e%o ,ue #e pide e# programa3 e%ta in%truccin entonce% e% entregada por #o% dato% en e# de%bordamiento" 4%e de%bordamiento de# bu&&er puede &/ci#mente tomar e# contro# de #o% programa% ,ue e%t/n en e7ecucinI e%to puede pre%entar rie%go% gra-e% de %eguridad +a ,ue pueden ganar acce%o a #a cuenta de root" Una -e0 e# punto de# de%bordamiento de# bu&&er ha %ido determinado3 un %cript puede %er e7ecutado para rea#i0ar #a tarea una + otra -e0" 1i un programa e% e7ecutado por root + %e encuentra con prob#ema% de de%bordamiento de bu&&er3 entonce% cdigo% arbitrario% pueden %er e7ecutado% +a con #o% pri-i#egio% de root" E0 M" e5, +e0 S"0A"gu"r+"r Ar)G(A,# Precaucione% deben %er tomada% cuando %e e%ta mane7ando autenticacin de archi-o% cr'tico% ta#e% como /etc/pa%%!d" 1i #a% precaucione% no %on tomada%3 e% po%ib#e ,ue #o% archi-o% %e corrompan" 4%to puede conducir a ,ue u%uario% #eg'timo% ,ue han %ido b#o,ueado% en e# %i%tema o u%uario% no autori0ado% ganen acce%o a# %i%tema" Por #o tanto3 e% ma#a idea u%ar #o% editore% tradiciona#e% ta#e% como -i o nano para editar #o% archi-o% como /etc/pa%%!d3 /etc/group3 o /etc/%udoer%" E+()(* Segur" +e 0,# Ar)G(A,# +e I ',r&")(* +e Au!e !()")(* Programa% e%pecia#e% hacen #a edicin %egura de cada uno de #o% archi-o% de in&ormacin de autenticacin" 4%to% programa% &i7an #o% b#o,ueo% apropiado% + rea#i0an cua#,uier proce%o nece%ario en e##o% ante% de %er de%b#o,ueado%" A(/M 4# programa -ip! #e permite a# admini%trador editar e# archi-o /etc/pa%%!d en un manera ma% %egura ,ue #a de #o% editore% e%t/ndar permitiendo a%' como e# mane7o de cua#,uier proce%o nece%ario de un archi-o una -e0 ,ue %e ha terminado de editar" 1i e# archi-o pa%%!d e%ta %iendo editado3 un men%a7e %era retornad a# admini%trador ,ue in&ormara a# u%uario de e%to + #e dir/ ,ue trate de nue-o ma% tarde" Cuando %e e%ta e7ecutando -ip!3 e# editor por de&ecto -i e% u%ado a# meno% ,ue #a -ariab#e de ambiente 4DI)O8 ha+a %ido cambiada a otro editor a#terno" Kientra% %e edita e# archi-o pa%%!d3 e# u%o de# -ip! e% id5ntico a# de -i %i e# editor por de&ecto n ha %ido cambiado" Adema%3 de permitir ,ue edite e# archi-o pa%%!d ma% %eguro3 -ip! rea#i0a -aria% -eri&icacione% de con%i%tencia en #a entrada de root en e# archi-o pa%%!d" 4# -ip! no permitir/ #a in%ta#acin de un archi-o pa%%!d ,ue contenga una entrada incorrecta a7u%tada a# &ormato de root" Para iniciar -ip!3 e# u%uario %o#o nece%ita u%ar e# comando -ip!3 a%umiendo ,ue -ip! e%ta en #a ruta" 4# &ormato para -ip! e% pre%entado a continuacin Q A(/M U$VV U$$Aer#(* V Kientra% %e e%ta e7ecutando -ip!3 e# u%uario e%ta actua#mente editando un archi-o tempora#3 /etc/ptmp" 1i e# ho%t %e &ri0a por a#guna ra0n de%conocida + %e -e en #a ob#igacin de reiniciar e# computador3 %u% dato% modi&icado% no perder/n +a ,ue e# archi-o /etc/ptmp no %era e#iminado3 #o cua# e-ita edicione% &utura% en e# archi-o /etc/pa%%!d u%ando -ip!" 4%te prob#ema puede %er re%ue#to u%ua#mente remo-iendo e# archi-o /etc/ptmp" A(gr 4%te e% id5ntico a -ip! e.cepto a ,ue e%te e% u%ado para editar e# archi-o de grupo%" A# igua# ,ue -ip!3 e%te a7u%ta un b#o,ueo apropiado + hace cua#,uier proce%amiento nece%ario cuando e# archi-o de# grupo no e% b#o,ueado" 1i e# archi-o de grupo e%ta %iendo editado3 un men%a7e %imi#ar a# de -ip! %era retornado a# admini%trador diciendo ,ue e# archi-o e%ta en u%o + ,ue e# u%uario debe de tratar de nue-o ma% tarde" 4# &ormato http //!!!"codigo#ibre"org $??
Antonio Perpian para -igr e% pre%entado a continuacin Q A(gr U$VV U$$Aer#(* V
4n una manera %imi#ar ,ue e# -ip!3 mientra% %e e%ta e7ecutando -igr3 e# u%uario e%ta editando actua#mente un archi-o tempora# /etc/gtmp" 1i por a#g2n moti-o de%conocido e# %i%tema %e &ri0a3 e# archi-o /etc/gtmp no %era remo-ido + cua#,uier edicin no %era permitida ha%ta ,ue e# prob#ema no %e ha##a re%ue#to" A(#u+, Como #o% do% programa% pa%ado%3 -i%udo e% id5ntico a -ip! + -igr e.cepto ,ue e%te e% u%ado para editar e# archi-o %udoer%" Como #o% otro% programa%3 e%te a7u%ta #o% b#o,ueo% apropiado% + hace cua#,uier proce%amiento cuando e# archi-o %udoer% no e%ta b#o,ueado" 1i e# archi-o e%ta %iendo editado3 un men%a7e %era retornado a# admini%trador indicando LIntente de nue-o ma% tardeM" 4# &ormato para e# comando -i%udo e% pre%entado a continuacin Q A(#u+, U$#V U$VV La opcin >% ob#iga a -i%udo a rea#i0ar -eri&icacione% e%tricta% en e# archi-o %udoer%" La opcin >= imprime e# n2mero de #a -er%in de -i%udo + %a#e de# programa" Como en #o% otro% programa%3 mientra% %e e%ta e7ecutando -i%udo3 e# u%uario e%ta editando un archi-o tempora#3 /etc/%udoer%"tmp" 1i e# computador por a#guna ra0n de%conocida %e cue#ga3 e# archi-o /etc/%udoer%"tmp no %era remo-ido + cua#,uier edicin no %era permitida mientra% e# prob#ema no %ea re%ue#to" Ver('()" +, 0" I !egr(+"+ +e 0,# Ar)G(A,# +e I ',r&")(* +e Au!e !('()")(* Un archi-o de in&ormacin de autenticacin ma# &ormado puede conducir a rie%go% de %eguridad no de%eado%" Por e%ta ra0n3 e% importante ,ue e# admini%trador pruebe cada uno de e%o% archi-o en una ba%e regu#ar" /M)D 4# programa p!c6 -eri&ica #a integridad de# archi-o de contra%ea3 pa%%!d + e# archi-o de contra%ea% +a encriptada% %hado!3 ambo% en #a carpeta /etc/" 4%te -eri&ica ,ue toda% #a% entrada% hecha% %on &ormato correcto + contienen dato% -a#ido% en cada uno de %u% campo%" 4# p!c6 a%egura ,ue cada entrada contiene e# n2mero correcto de campo%3 un u%uario -a#ido + identi&icador de grupo3 un grupo primario -a#ido3 un directorio home -a#ido + un -a#ido %he## de #ogin" 4%to tambi5n -eri&ica para e%tar %eguro ,ue cada nombre de u%uario en e# archi-o e% 2nico" 1i p!c6 de%cubre ,ue una entrada tiene e# n2mero e,ui-ocado de campo%3 a# u%uario %e #e preguntar/ para ,ue borre #a entrada" 1i e# u%uario %e niega3 toda% #a% e7ecucione% de borrado% ,ue iban a %er e7ecutada% %e omiten" 1i p!c6 de%cubre ,ue una entrada de nombre de u%uario no e% 2nica3 a# u%uario %e #e preguntar/ de nue-o %i de%ea borrar #a entrada" 1in embargo3 %i e# u%uario %e niega3 #a -eri&icacin continua" )odo% #o% prob#ema% adiciona#e% ,ue %on encontrado% de%p#egar/n un men%a7e de precaucin" 4# u%uario debe de tomar -enta7a de# comando u%ermod para arreg#ar e%o% prob#ema%" La %inta.i% e% mo%trada a continuacin Q /M)D U$rV U/"##M,r+R'(0e #G"+,MR'(0eV La opcin >r ob#iga a p!c6 a entrar en modo de %o#o #ectura" Dentro de e%te3 p!c6 no #e dir/ a# u%uario ,ue rea#ice cambio% pero toda-'a in&ormar/ ,ue e.i%te un prob#ema con e# archi-o probado" gr/)D Ku+ parecido a# programa p!c63 grpc6 -eri&ica #a integridad de# archi- de grupo3 /etc/group3 + %u %hado!3 http //!!!"codigo#ibre"org $?@
Antonio Perpian
/etc/g%hado!" 4%te -eri&ica ,ue toda% #a% entrada% hecha% e%t/n en &ormato correcto + contiene dato% -a#ido% en cada uno de #o% campo%3 grpc6 a%egura ,ue cada entrada contienen e# n2mero correcto de campo%3 un 2nico n2mero de grupo + una #i%ta -a#idad de miembro% + admini%tradore%" 1i grpc6 de%cubre ,ue una entrada e% incorrecta por e# n2mero de campo%3 e# u%uario %era preguntado para ,ue borre #a entrada" 1i e%te %e niega3 e# programa no #e preguntara para ,ue borre otra entrada %i ma% errore% &ueron encontrado%" A# u%uario %e #e preguntara %i %e borra #a entrada %i grpc6 de%cubre ,ue una entrada de# nombre de grupo no e% 2nica" 4n e%te ca%o3 %i e# u%uario %e niega3 -eri&icacione% &utura% continuaran" Prob#ema% adiciona#e% ,ue %n encontrado% de%p#egaran una ad-ertencia" 4# u%uario debe de habi#itar e# comando groupmod para reparar e%te prob#ema" La %inta.i% de grpc6 e% id5ntica a p!c6 Q gr/)D U$rV Ugr,u/ #G"+,MV La opcin >r ob#iga a grpc6 a entrar en modo de %o#o #ectura" 4n modo de %o#o #ectura3 grpc6 no #e dir/ a# u%uario ,ue rea#ice cambio% pero a2n a%' #e in&ormar/ ,ue e.i%te un prob#ema con e# archi-o probado" A&4(e !e# +e U#u"r(, La %eguridad de# ambiente de# u%uario e% un a%pecto importante de todo %i%tema de %eguridad + uno ,ue no debe de %er pa%ado por a#to cuando %e con&iguran #a% cuenta% de u%uario" 4# grado de -u#nerabi#idad de un ambiente de u%uario e% contro#ando no %o#o por #a pre-i%in + #a precaucin tomada por un admini%trador de %i%tema%3 pero tambi5n por #a inten%in + habi#idade% de# u%uario de# %i%tema" Fa##a% en #a parte de u%uario% indi-idua#e% para a%egurar correctamente e# ambiente de #a cuenta puede pro-eer per7uicio% para cada uno en e# %i%tema" De%de e# ambiente de u%uario e%te e% e# 7e&e en e# punto de interaccin con un %i%tema3 e%te e% e# %itio en e# ,ue ma% probab#e ocurren brecha% de %eguridad" 1o#o por ,ue un u%uario no tiene acce%o a root no %igni&ica ,ue no %ea capa0 de ad,uirir o de daar in&ormacin %en%ib#e de# %i%tema o ,ue otro u%uario no %era capa0 de u%ar %u cuenta para otro% prop%ito%" Debido a e%ta% ra0one%3 ha+ -aria% pa%o% ,ue #o% u%uario% deben de tomar para re%tringir e# acce%o de otro% u%uario% o pre-enir dao% accidenta#e% a# %i%tema" 4%ta %eccin e.aminar/ una pe,uea cantidad de uti#idade% di%ponib#e% para permitir#e% a #o% u%uario% ,ue puedan pro-eer un me7or ni-e# de contro# %obre #o% prob#ema% potencia#e% de %eguridad a%ociado% a %u% cuenta%" u&"#D Lo% permi%o% de archi-o% %on una parte importante de #a %eguridad de GNU/Linu." Con e# %i%tema de permi%o% de archi-o% imp#ementado% por #o% %i%tema% GNU/Linu.3 #o% u%uario% pueden contro#ar e# derecho de acce%o de archi-o% + directorio% en m2#tip#e% ni-e#e%" Para poder a%egurar correctamente una cuenta de u%uario3 %e debe de tener conocimiento de como traba7an #o% permi%o% de #o% archi-o%I un u%uario puede incon%cientemente e%tar pro-e+endo a otro% u%uario% con e# acce%o de #ectura o cambiar con&idencia#mente o in&ormacin de#icada" Una manera de %a#-aguardar #o% archi-o% + directorio% creado% dentro de una cuenta de u%uario e% imp#ementando correctamente e# uti#itario uma%6" La ma%cara de permi%o% de archi-o% &i7a #o% permi%o% + e%to% %er/n autom/ticamente atribuido% a #o% archi-o% o directorio% creado% dentro de# %he## de# u%uario" 4# uti#itario uma%6 e% u%ado para &i7ar o de%p#egar #a ma%cara de permi%o% de archi-o% o directorio% creado% por #o% u%uario%" Por e7emp#o3 %i #a ma%cara de permi%o% de archi-o e% &i7ada a GG;;3 #uego #o% archi-o% norma#mente creado% por #o% u%uario% %er/n creado% con #o% permi%o% AJJ" 4%encia#mente3 e# -a#or de #a ma%cara de #o% permi%o% de archi-o% e% %ub%tra'do de%de e# -a#or e%t/ndar de# archi-o ,ue e%ta %iendo creado" 9acer u%o de# uti#itario uma%6 http //!!!"codigo#ibre"org $?J
Antonio Perpian
#e permitir/ a #o% u%uario% tener todo% #o% archi-o% o directorio% creado% dentro de una cuenta de u%uario autom/ticamente a%ignando #o% permi%o% indicado% por #a ma%cara" 4%to pre-iene a #o% u%uario% de #a creacin inad-ertida de un archi-o o directorio ,ue #e pro-eer'a a# crac6er con acce%a a una cuenta o a otra% /rea% de# %i%tema" Para de%p#egar #a con&iguracin actua# de #a ma%cara de permi%o%3 unicamente digite uma%6 %in argumento en e# prompt de #a con%o#a" Para cambiar e# -a#or de #a con&iguracin3 u%e #a %iguiente %inta.i% Q u&"#D U%%%%V Donde e....f e% e# -a#or de #o% @ d'gito% de #a ma%cara de permi%o% de archi-o% ,ue -a a hacer cambiada" Una -e0 e# -a#or de #a ma%cara de permi%o de archi-o% ha %ido cambiado3 e# -a#or de# permi%o de cua#,uier archi-o o directorio creado de%pu5% de# cambio3 %er/n &i7ado de acuerdo a# cambio" 4# comando uma%6 puede %er in%ertado dentro de# archi-o ocu#to "ba%hgpro&i#e para a%' tener #a ma%cara de #o% permi%o% de archi-o% &i7ado% a# -a#or de%eado en cada #ogin a# %i%tema" "u!,0,g,u! Para rea#0ar #a %eguridad3 a#guna% organi0acione% animan a# u%o de practica% de %eguridad a# ni-e# ma% ba7o" Lo% u%uario% ,ue de7an %u% panta##a% %in atencin por mucho tiempo pueden arrie%gar%e a ,ue a#guien acce%e #o% dato% con&idencia#e% o archi-o% en %u e%tacin de traba7o" Uno de #o% ma% pe#igro%o% rie%go% de %eguridad e% ,ue a#guien pueda tener acce%o a un termina# ,ue e%ta de%atendida por e# u%uario" 4%to no %o#o #e da a #o% crac6er% otro nombre de u%uario detr/% de# cua# e%conder%e3 pero e%te tambi5n #e pro-ee a #o% crac6er% #a oportunidad de hacer cambio% ,ue e##o% pueden u%ar ma% tarde para prop%ito% ma#icio%o% de%de a&uera de #a cuenta" 4n dicha %ituacin una po#'tica debe de %er imp#antada para autom/ticamente apagar o %acar de %e%in un termina# ,ue e%te de%atendida un un per'odo de tiempo prudente" Puede %er un %imp#e protector de panta##a (ta# como .%creen%a-er* pueden e%tar con&igurado" A#ternati-amente3 #o% programa% di%ponib#e% para e# pub#ico como auto#ogout pueden -eri&icar por inacti-idad + ob#igar a ,ue #a %e%in %ea terminada" Para %a#-aguardar en contra de e%to3 #o% u%uario% deben de tomar -enta7a% de #a -ariab#e de# %he## auto#ogout para tener %u% termina#e% autom/ticamente %a#ir de# %i%tema de%pu5% de de haber%e cump#ido e# periodo de inacti-idad" La -ariab#e auto#ogout e%ta di%ponib#e en ca%i toda% #a% -er%ione% de# C>%he##" Para ,ue #o% u%uario% puedan a7u%tar e# periodo de inacti-idad ,ue debe de ocurrir ante% ,ue autom/ticamente %e %a#ga de# %i%tema3 e##o% podr'an agregar #a% %iguiente% #inea% a# archi-o "c%hrc en %u directorio home" #e! "u!0,g,u!]U&( u!,#V Para poder pre-er ,ue e# u%uario no pierda %u% traba7o% ,ue no ha guardado en #a ap#icacin ,ue %e encuentra traba7ando en #a actu#aidad3 e# C>%he## %o#o %acar/ de# %i%tema %i ocurre e# proce%o de inacti-idad en e# prompt" Aun,ue e% idea# ,ue #o% u%uario% %a#gan de# %i%tema cuando no -an a e%tar &rente a %u termina# de traba7o3 uno debe por #o meno% recordar guardar #o% traba7o% + %a#ir de cua#,uier ap#icacin ,ue %e e%te e7ecutando" &e#g De%de e# punto de -i%ta idea# de %eguridad3 nunca e% %eguro ,ue ocurra un intercambio entre u%uario%3 ni en e# mi%mo %i%tema o mucho meno% en %itio% remoto%" Grande% pa%o% han %ido tomado% para de%arro##ar &i#tro% + programa% ,ue autenti,uen + -eri&i,uen #a %eguridad de #o% e>mai#%" 9a+ una cantidad de pa%o% ,ue deben de %er tomado% en contra de programa% como ta#6 + !rite" 9a+ pe,ueo% programa% ,ue #e% permiten a #o% u%uario% chatear e# uno con e# otro en #a #inea de comando%" Aun,ue aparentemente %eguro%3 ambo% #e% permiten a #o% http //!!!"codigo#ibre"org $?H
Antonio Perpian
crac6er% e.traer de in&ormacin daina de #o% u%uario% en e# termina#" Por e7emp#o3 e# programa !rite contiene un gran agu7ero de %eguridad ,ue #e permitir/ a un crac6er e7ecutar programa% en otra% termina#e% de u%uario% ba7o circun%tancia% apropiada%" )ambi5n ha+ programa% ,ue #e% permitir/n ,ue comando% %ean e7ecutado% en #a termina# de otro u%uario -'a e# comando ta#6" da ,ue ambo% programa% en-'an %u %a#ida a #a termina# de otro u%uario %in e# con%entimiento de dicho u%uario3 e% po%ib#e para un crac6er en-iar in&ormacin a e%e u%uario %in %u conocimiento o de ta# manera ,ue e##o% no podr/n detener e# ata,ue" Para poder contro#ar e# acce%o a una termina# -'a programa% de men%a7e%3 #o% u%uario% pueden u%ar e# comando me%g para permitir o b#o,uear #o% men%a7e%" Argumento% di%ponib#e% %on L+3 nM #o% cua#e% permiten + b#o,uean men%a7e% re%pecti-amente" Por e7emp#o3 %i un u%uario e%cribi #o %iguiente Q &e#g Lo% men%a7e% %er/n b#o,ueado%3 + #o% otro% u%uario% no podr/n en-iar men%a7e% a# u%uario de e%a termina#" De igua# modo3 e# %iguiente comando habi#itara #o% men%a7e% Q &e#g Cua#,uiera de e%o% do% comando% deben de %er in%ertado% dentro de una #inea en e# archi-o "ba%hgpro&i#e para poder tener #o% men%a7e% autom/ticamente habi#itado% o b#o,ueado% a# ingre%ar a# %i%tema" E0 B0,.ue, +e 0" C, #,0" 4# b#o,ueo de #a panta##a o de# termina# #e% permite a #o% u%uario% incrementar #a %eguridad en #a% con%o#a%" 4%to e% importante en una con&iguracin donde #o% u%uario% no autori0ado% tienen acce%o &'%ico a #a% computadora%" Lo% programa% de b#o,uear panta##a% inician un b#o,ueo gr/&ico en #a termina# X <indo! o &ri0a #a termina# -irtua# actua#" Una contra%ea e% re,uerida para poder re%umir e# u%o de# termina#" 4%te programa de b#o,ueo habi#ita a #o% u%uario% poder de7ar #a %e%in corriendo en %u au%encia %in #a amena0a de ,ue u%uario% %in autori0acin ganen acce%o" %0,)D 4# .#oc63 o e# nue-o .#oc6more3 b#o,uea un gr/&ico cambiante de# %er-idor X + re,uiere -eri&icacin de contra%ea para de%b#o,uear #a panta##a" Kientra% %e e%ta e7ecutando .#oc63 nue-a% cone.ione% a# %er-idor %on recha0ada% + e# %a#-a panta##a (%creen%a-er* e% %u%pendido" L#amada% de# mou%e o de# tec#ado pedir/n por una contra%ea" A0,)D 4# -#oc6 e% u%ado para b#o,uear #a termina# -irtua# en una con%o#a" La termina# de%p#egar/ un b#o,ueo de panta##a con un pedido de contra%ea" )odo% #o% go#pe% de tec#a% %on inc#uido% en #a entrada de #a contra%ea" S"0A" P" !"00"# >#)ree #"Aer? A#guno% mane7adore% de# X <indo! tienen un %creen%a-er ,ue puede %er con&igurado para actuar como b#o,ueador de panta##a" GNOK4 + \D4 o&recen un b#o,ueo de panta##a ,ue debe de %er con&igurado en e# pane# de contro# o de%de e# men2 1i%tema>cPre&erencia%" La -eri&icacin de contra%ea para todo% #o% b#o,ueadore% de panta##a% e% id5ntico a# de# #ogin de# u%uario"
$?A
Antonio Perpian
RESUMEN 4n e%te capitu#o cubrimo% -ario% de #o% %er-icio% de red" A#guno% de #o% tema% di%cutido% &ueron Pen%ar como un intru%o potencia# + e# u%o de e%o% pen%amiento% para identi&icar /rea% en %u% po#'tica% de %eguridad ,ue nece%itan %er me7orada%" A#ternati-a% para ingre%ar a# %i%tema como root3 inc#u+endo %u3 %udo + <ebmin" 1cript% 1UID3 1GID + programa% a menudo ,ue ponen un a#to rie%go de %eguridad ,ue #a con-eniencia de %eguridad ,ue e##o% o&recen" Una &uerte po#'tica de %eguridad3 inc#u+endo en-e7ecimiento de contra%ea + &ormato tota# de #a% contra%ea%3 e% e%encia# para #a% po#'tica% de %eguridad de# %i%tema" Konitorear #a acti-idad de #a% cuenta% + #o% archi-o% #og% %on un pa%o importante en e# mantenimiento de %i%tema% %eguro%" Pregu !"# P,#!$E%"&e La% re%pue%ta% de e%ta% pregunta% %e encuentran en e# Ap5ndice A" $" CCu/# t5rmino e% uti#i0ado para #a% cuenta% pri-i#egiada% en GNU/Linu.E ;" 4n GNU/Linu.3 C,u5 &uncin hacen #o% archi-o% utmp + !tmpE ?" CCu/#e% %on #a% caracter'%tica% de #a% contra%ea% &uerte%E @" CCu/#e% campo% contienen e# archi-o contra%ea de GNU/Linu.E J" CCu/#e% permi%o% tiene e# archi-o de contra%ea %hado!E H" CCu/# e% e# prop%ito de #a admini%tracin de %i%tema% de %eguridadE
$?B
Antonio Perpian
ASEGURAR LAS PRACTICAS DEL SISTEMA

TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin 1eguridad de# 1i%tema de Archi-o% de GNU/Linu. Dec#aracin de 1eguridad Ap#icando Parche% a# \erne# 4# 1+%#og Konitoreo de# 1i%tema Prueba% de =u#nerabi#idade% Di%tribucione% 1egura% de GNU/Linu. 8e%umen Pregunta% Po%t>4.amen No. ;JA ;JA ;HJ ;HA ;AG ;AJ ;BG ;BJ ;BJ ;BJ ;BB ;BB
CAPITULO
OBJETIVOS:
Al completar este captulo, usted podr U Li%tar + de%cribir -aria% organi0acione% ,ue dan noticia de %eguridad" U 8e%umir #a% ra0one% + e# proce%o de ap#icar#e parche% a# 6erne#" U De%cribir #a% imp#ementacione% de mdJ%um para probar integridad de archi-o% U Li%tar #o% uti#itario% me7or conocido% ,ue en-'an men%a7e% a# %+%#og como tambi5n #a% prioridade% u%ada% para c#a%i&icar #o% men%a7e% ,ue e%t/n a#macenado% en e# #og" U De%cribir #o% tre% uti#itario% de monitorear #o% archi-o% #og ch6#a%t#og3 ch6!tmp + #ogchec6" U 8e%umir e# u%o de %!atch + cadena% en e# monitoreo de archi-o% #og%" U 8e%umir #o% bene&icio% de# monitoreo de %i%tema%I de%cribir #a in&ormacin de precaucin de #o% archi-o% #og% + #o% bene&icio% de re-i%ar #a %eguridad" U 8e%umir e# u%o de# programa trip!ire en #a -eri&icacin para cambio% no programado% para #o% archi-o% de# %i%tema a como tambi5n #o% e#emento% c#a-e% de# programa" U Li%tar3 comparar + contra%tar con%cientemente #a %eguridad de -aria% di%tribucione% de GNU/Linu."
J
SEGURIDAD
Pregu !"# Pre$E%"&e 8e%pue%ta% a e%ta% pregunta% %e encuentran en e# Ap5ndice A" $" CCmo puede e# an/#i%i% de# chec6%um a+udar#o a imp#ementar %eguridadE ;" CDu5 e% un inode en GNU/Linu.E ?" C4n cu/#e% do% manera% e# comando chmod puede %er ap#icado
@" CDe%de ,ue #a ma+or'a de #o% intru%o% acce%an i#ega#mente a %u computador de noche3 Ccomo puede un admini%trado% de %i%tema &/ci#mente monitorear #a acti-idad de #a red ,ue tomo #ugar de%pu5% de hora% #aborare%E
$?O
Antonio Perpian
INTRODUCCION Ahora ,ue u%ted ha imp#ementado autenticacin + %eguridad de cuenta%3 e% -ita# re-i%ar #o% procedimiento% de mantenimiento de# %i%tema ,ue a%eguraran ,ue un %i%tema %igue %iendo %eguro" Lo% permi%o% de archi-o% protegen a #o% archi-o%3 a%' e%to% pueden %er acce%ado por u%uario% e%pec'&ico%" 4# acce%o a #o% archi-o% e%ta ba%ado en #a propiedad de un archi-o" La %eguridad de un archi-o en un %i%tema GNU/Linu. depende en #a propiedad + %u con&iguracin de proteccin" Lo% permi%o% de archi-o% e%pecia#e% ##amado% 1UID + 1GID #e permiten a un programa %er e7ecutado con #o% pri-i#egio% de otro u%uario" Kientra% e%to puede %er 2ti#3 e%to tambi5n in-o#ucra mucho% rie%go%" Lo% #og% automati0ado% pro-i%to% por e# %i%tema operati-o pro-een cierta in&ormacin importante de %eguridad" U%ted debe regu#armente ob%er-ar e%o% #og% + -eri&icar en Internet por precaucione% pub#icada% %obre -u#nerabi#idade% ,ue han %ido encontrada% en programa% de %i%tema% ,ue pueden a&ectar %u operacione%" Lo% archi-o% pueden %er acce%ado% directamente por #o% u%uario% en #a con%o#a #oca# + remotamente a tra-5% de #a red" U%ted nece%ita entender e imp#ementar correctamente para a#can0ar un comp#eto contro# de acce%o" U%ted e.aminar/ ambo% m5todo% en e%te capitu#o3 comen0ando con e# acce%o directo a archi-o%" Segur(+"+ +e0 S(#!e&" +e Ar)G(A,# +e GNU/L( u% 4n GNU/Linu.3 toda #a in&ormacin e% a#macenada en un ob7eto ##amado archi-o3 e# cua# tiene un nombre a%ociado con e#" Lo% archi-o% %on a#macenado% en directorio%3 #o% cua#e% GNU/Linu. tambi5n con%idera como archi-o%" 4%to% do% componente% hacen #a e%tructura comp#eta en e# cua# #o% dato% %on a#macenado% en un %i%tema GNU/Linu." La #oca#i0acin actua# de #a% po#'tica% + m5todo% de acce%o opciona# %on todo% ##amado% deta##e% de imp#ementacin3 un /rea de admini%tracin + a&inamiento de# %i%tema" 4# %i%tema de archi-o% de GNU/Linu. tiene una e%tructura de a#macenamiento 7er/r,uica" Lo% archi-o% %on organi0ado% u%ando #o% directorio%3 dentro de una e%tructura 7er/r,uica o /rbo#" 4%te capitu#o en&oca en como #o% permi%o% %on mane7ado% en e# %i%tema de archi-o% de GNU/Linu." 4%to% permi%o% contro#an #o ,ue e# u%uario puede acce%ar + como e%to% pueden acce%ar#o%" 4# %i%tema de archi-o% e% #a manera b/%ica en #a cua# #a %eguridad de GNU/Linu. e%ta %u%tentada" Lo% %iguiente% tema% %er/n cubierto% en e%ta %eccin Archi-o% + directorio% Nombre% de Archi-o% Nombre% de 8uta% Con&iguracin de# U%uario Permi%o% de Archi-o% Archi-o% Ar)G(A,# - D(re)!,r(,# 4# %i%tema de archi-o% de GNU/Linu. e%ta compue%to de archi-o% + directorio%3 con un directorio %enci##o% de root ,ue pro-ee acce%o a todo #o% di%co%3 archi-o% + directorio% en e# %i%tema" Lo% archi-o% %on ob7eto% %ingu#are% ,ue a#macenan dato% ta#e% como te.to p#ano o un binario e7ecutado" Un directorio e% un contenedor en e# cua# archi-o% + otro% directorio% %on ubicado% para e# prop%ito de #a organi0acin" 4# %i%tema operati-o GNU/Linu. ha tomado e# concepto de un archi-o un pa%o ade#ante ,ue mucho% %i%tema% operati-o% ba7o GNU/Linu.3 todo e% un archi-o" 4# di%po%iti-o &'%ico en e# %i%tema e% acce%ado u%ando nombre% de archi-o% e%pecia#e% en e# %i%tema de archi-o%" :a7o GNU/Linu.3 #a memoria de# %i%tema + #o% proce%o% ,ue e%t/n en e7ecucin (o programa%* %on tambi5n acce%ib#e% a tra-5% de# %i%tema de archi-o%" http //!!!"codigo#ibre"org $@G
Antonio Perpian
La e%tructura de /rbo# 7er/r,uico tericamente no tiene #'mite% de pro&undidad (aun,ue #imitada% por e# n2mero de inodo en %i%tema de archi-o%* + puede %er e.tendida u%ando #a% &aci#idade% de #a% rede% para inc#uir di%co% + archi-o% en otro% %i%tema% de mi%mo tipo a# #oca# o de otro%" 4# directorio actua# e% #a po%icin actua# en #a cua# e%ta e# u%uario dentro de# /rbo#" Lo% u%uario% -en e# %i%tema de archi-o% de GNU/Linu. como una gran e%tructura como #a de un /rbo#" La ra'0 de# /rbo# e% un directorio e%pecia# a# cua# %e #e ha dado e# nombre de L/M o Lra'0M" Lo% deta##e% de cua# di%co contiene #o% archi-o% o directorio% e% mantenido ocu#to a #o% u%uario%3 %o#o ha+ una 7erar,u'a a con%iderar" 4%to e% un contra%te a DO1 o O1/;3 donde cada di%po%iti-o de di%co tiene %u propia 7erar,u'a de %i%tema de archi-o% con %u propia ra'0" 4%te concepto e% e.pandido para incorporar #a% di%,uetera%3 di%co% duro% e.terno%3 CD>8OK% + ha%ta di%co% en#a0ado% a otra% m/,uina%" )odo puede %er acce%ado% de #a mi%ma manera -'a directorio%" 9a+ de%cripcione% deta##ada% de a#guno% de #o% directorio% ma% comune% + %u contenido" Aun,ue no ha+ un e%t/ndar r'gido para #a ubicacin o e# nombre de e%to%3 e%to% %iguen #o% e%t/ndare% b/%ico% de GNU/Linu. + #a F91
/4,,! 4%te e% un directorio ,ue contiene e# 6erne# de# %i%tema operati-o3 cargado a memoria duran te e# proce%o de inicioI en %i%tema% comercia#e% 1=8@3 e%te directorio e% ##amado /%tand3 aun ,ue mucho% %i%tema% mantienen e# 6erne# directamente ba7o e# directorio ra'0" /u#r 4%te e% un directorio ,ue contiene #a ma+or'a de #o% archi-o% de# %i%tema" /G,&e 4%te e% un directorio ,ue contiene e# directorio home de #o% u%uario%" /e!) 4%te e% un directorio ,ue contiene #o% archi-o% de con&iguracin de# %i%tema" /A"r 4%te e% un directorio ,ue contiene #a in&ormacin -o#/ti# de# %i%tema (#og%3 archi-o% %poo#ing3 etc"*" Lo% #og% e%t/n en un e%tado de e%critura con%tante3 de e%ta manera mucho% %i%tema% emp#ean un %cript autom/tico para truncar %u tamao" /+eA 4%te contiene un n2mero de archi-o% e%pecia#e% cu+o prop%ito e% permitir#e acce%o directa mente a# di%po%iti-o &'%ico3 ta#e% como /de-/con%o#e (termina# principa#* + /de-/&dG (di%,uetera*I #o% nombre% para #o% archi-o% e%pecia#e% di&ieren de &abricante a &abricante"
A#guno% nombre% comune% para #o% directorio% %on

/4( /0(4 /#4( /!&/ Un nombre com2n para directorio% ,ue contienen programa% acce%ib#e% por #o% u%uario%" )'picamente contiene #a% #ibrer'a% u%ada% en programa% de de%arro##o" 4# nombre para directorio% ,ue contienen programa% orientado% a# %i%tema" Un directorio u%ado para #a creacin de archi-o% tempora#e%"
9a+ mucho% ma% directorio% + archi-o% pre%ente% en #a ma+or'a de #a% di%tribucione% GNU/Linu." N,&4re# +e 0,# Ar)G(A,# Lo% nombre% de #o% archi-o% %iguen un n2mero de con-encione%" Lo% nombre% de #o% archi-o% pueden contener cua#,uier caracter A1CII e.cepto una barra (/*3 e# cua# e% u%ado para %eparar directorio% dentro de una e%peci&icacin de ruta de nombre" U%ted norma#mente no encontrara mucho% archi-o% con nombre% ,ue contienen do% punto%3 punto + coma3 coma% + punto%" Lo% nombre% de #o% archi-o% de GNU/Linu. de tienen un nombre de e.ten%in3 aun,ue u%ted puede agregar un punto + una e.ten%in %i u%ted de%ea" A di&erente a DO1 + =K13 u%ted puede agregar ma% de una e.ten%in a un nombre de archi-o" La ma+or'a de #o% e7emp#o% comune% ,ue u%ted -era de e%to e% un archi-o "tar"g0" A di&erencia de DO13 e# cua# re,uiere de uno a ocho caractere% para e# nombre con un e.ten%in a de uno a tre% caractere% de%pu5% de un punto ("e.e*3 no ha+ &ormato impue%to en nombre% de archi-o% en GNU/Linu.3 e.cepto no u%ar #a barra" Lo% nombre% de #o% archi-o% en GNU/Linu. genera#mente %iguen una con-encin de %eparar un componente de tipo de archi-o de un nombre de archi-o por e# u%o de un punto" 4%to #e permite a mucho% uti#itario% de GNU/Linu. generar un archi-o de %a#ida de%de #a entrada de otro archi-o" 4# compi#ador http //!!!"codigo#ibre"org $@$
Antonio Perpian
GCC3 por e7emp#o3 recibe un archi-o &uente de nombre terminado con un "c + da crea %imi#armente un archi-o ob7eto nombr/ndo#o con e# mi%mo nombre pero a# &ina# con un "o en #ugar de "c" 1i un archi-o %e ##ama programa"c + e% compi#ado por GCC re%u#tar'a entonce% un archi-o de nombre programa"o3 en #a carpeta actua#" 4%te m5todo adoptado por GCC e% puramente una con-encin3 un acuerdo3 +a ,ue GNU/Linu. no impone re%triccione% a#guna% a #o% &ormato% de nombre% de archi-o%" Lo% nombre% de archi-o% ,ue comien0an con un punto3 como %on por e7emp#o e# archi-o de con&iguracin indi-idua# de #o% u%uario% "ba%hgpro&i#e3 %on ##amado% archi-o% ocu#to%" 4%to% no %on norma#mente de%p#egado% a# #i%tar e# contenido de #o% directorio% con comando% como #% + dir" )'picamente e%to% archi-o% ocu#to% contienen con&iguracione% per%ona#i0ada% de #a% ap#icacione%" Aun,ue cua#,uier caracter e%ta permitido en un nombre de archi-o3 e.cepto #a barra (/*3 en pr/ctica3 ha+ a#guno% caractere% ,ue pueden cau%ar di&icu#tad3 + e##o% deben de %er e-itado% %i e% po%ib#e" 47emp#o% de e%to% %on Un guion (>* como e# primer caracter en un nombre Caractere% ta#e% como E3 Y3 (3 *3 V3 e3 f3 c3 h" e%pacio% + %angr'a% (tabu#acione%* (e%to% tienen %igni&icado% e%pecia#e% en #a #inea de comando* Caractere% A1CII %in impre%in N,&4re# +e Ru!"# Lo% archi-o% %on #oca#i0ado% por #a incorporacin de un e%,uema de nombre ,ue e# directorio nombra a #o #argo de una ruta conduciendo cada nombre de archi-o + nombre de archi-o indi-idua#" Luego e%to e% ##amado un nombre de archi-o comp#etamente ca#i&icado" Di%cutiremo% #a% %iguiente% pauta% + e7emp#o% Un nombre de ruta ab%o#uta de%cribe #a ruta a# archi-o o directorio empe0ando de%de e# directorio ra'0 L/M" e5I: /u#r/4( /!! Un nombre de ruta re#ati-o de%cribe #a ruta a# archi-o o directorio de%de e# directorio actua#" e5I: 4( /!! 4# directorio actua# %era e# punto de re&erencia %i e# nombre de #a ruta no comien0a con /" Un nombre de ruta ab%o#uta de%cribe #a ruta a# archi-o o directorio de%de #a ra'0 de e# %i%tema de archi-o%" Por ,ue e# %i%tema de archi-o% e%ta organi0ado como un /rbo# con una %o#a ra'03 cada archi-o o directorio tendr/ e.actamente un nombre de ruta ab%o#uto3 a%' e%te puede %er pen%ado como una manera de identi&icacin de un archi-o 2nica en e# %i%tema de archi-o%" Un nombre de ruta ab%o#uto comien0a con un %#a%h (/*" De%pu5% de e%o3 e%te e%ta compue%to de# nombre de #o% directorio% ,ue pa%an a tra-5% de #a ruta3 %eparado% por %#a%h" Por e7emp#o e7" /u%r/bin/tt+3 e%te e% e# nombre de ruta ab%o#uta para e# archi-o tt+ en e# archi-o /u%r/bin de# %i%tema 7er/r,uico" Un nombre de ruta re#ati-a de%cribe #a ruta a un archi-o o directorio empe0ando de%de e# directorio actua#" 4# &ormato de un nombre de ruta re#ati-o e% %imi#ar a# nombre de ruta ab%o#uta e.cepto ,ue e# nombre de ruta re#ati-o no empie0a con e# %#a%h" 4# e7emp#o mue%tra ,ue3 cuando e# directorio actua# e%ta en /u%r3 e# nombre de ruta re#ati-a a# archi-o e% e7" bin/tt+" U%ted puede -er ,ue %i e# directorio actua# &ue%e /u%r/bin3 #a ruta re#ati-a %era %imp#emente e7" tt+ I II E0 +(re)!,r(, +e !r"4"5, ")!u"0 E0 +(re)!,r(, /"+re >u /"#, "!rC# +e0 +(re)!,r(, ")!u"0?
4%to% nombre% pueden %er u%ado% donde,uiera en un nombre de ruta3 re#ati-a o ab%o#uta" 4%to% %on http //!!!"codigo#ibre"org $@;
Antonio Perpian
ma+ormente u%ado% en #o% nombre% de ruta% re#ati-a% de%de de%de ,ue #e permiten e%peci&icar #a% ruta% ,ue -ia7an hacia arriba a tra-5% de #a 7erar,u'a como tambi5n hacia aba7o" Por #o tanto3 #a ruta re#ati-a de# directorio /home/antonio e% ""/antonio" 1imi#armente3 podemo% e%peci&icar una ruta re#ati-a a un archi-o en nue%tro directorio actua#" Por e7emp#o3 e# archi-o"t.t puede tambi5n %er re&erido u%ando "/archi-o"t.t" 4%to puede %er u%ado cuando #o% nombre% de #o% archi-o% empie0an con un meno% por ,ue un comando norma#mente tratara un meno% #'der como una opcin de comando" Pre%idiendo e# nombre con "/ ob-iamente %e e#imina cua#,uier con&u%in" E0 D(re)!,r(, G,&e Cada u%uario en e# %i%tema tiene un directorio home" 4%ta e% #a #oca#idad donde e# u%uario ##ega cuando ingre%a a# %i%tema" 4# directorio home contienen #o% archi-o% perteneciente% a# u%uario" 4# u%uario puede #ibremente crear archi-o% + directorio% a,u'" 4# contenido de# directorio home e%ta protegido por de&ecto para u%uario% ,ue no %ean e# propietario o e# u%uario% pri-i#egiado% con un acce%o e%pecia# (como e# root*" Lo% archi-o% de inicio + con&iguracin e%t/n ubicado% en e# directorio home" 4%to% inc#u+en archi-o% de %e%in per%ona#i0ado%3 ta#e% como "pro&i#e o "#ogin3 como tambi5n archi-o% de inicia#i0acin de ap#icacione%3 ta#e% como "Xde&au#t% + "mai#rc" C, '(gur")(* +e0 U#u"r(, 4# archi-o /etc/%ecurett+ determina donde e%tar/ permitido e# ingre%o a root" Por de&ecto3 root tiene %o#amente permitido ingre%ar a# %i%tema de%de una con%o#a perteneciente directamente de%de e# mi%mo %i%tema" 1i un u%uario u%ando te#net ingre%o a# %i%tema + de%ea cambiar a# root e# %i%tema #e negara e# acce%o aun,ue e%te tenga #a contra%ea de root" 8oot %iempre puede modi&icar e%te archi-o" Per&(#,# +e Ar)G(A,# Lo% permi%o% de archi-o% e%t/n di%eado% para permitir #ectura3 e%critura o e7ecucin a un archi-o" Por #a manipu#acin de #o% permi%o% de #o% archi-o%3 e# acce%o a #o% directorio% + archi-o% puede %er permitido o denegado ba%ado en e# nombre de u%uario o nombre de grupo" Una con&iguracin impropia puede comprometer #a %eguridad de un archi-o o directorio" Lo% permi%o de archi-o% permiten ,ue tre% grupo% de per%ona% tengan di&erente% permi%o% de acce%o para un archi-o" 4# propietario tiene una a%ignacin de permi%o%3 e# grupo + #o% otro% otra" La ma+or'a de #o% prob#ema% de %eguridad %urgen en #a tercera a%ignacin de #o% permi%o%3 #o% permi%o% para #o% otro%3 e# uni-er%o de #o% u%uario%" 1i un archi-o concede permi%o% de e%critura o e7ecucin para todo% #o% otro% u%uario%3 e%te archi-o e% ahora un potencia# &oco de preocupacin +a ,ue un atacante pueda modi&icar e# archi-o para rea#i0ar cua#,uier tarea" L,# Ar)G(A,# GNU/Linu. tiene ca%i de%de %u% inicio% permitido e# e%ti#o de UNiX de #argo% nombre% para archi-o% + directorio%3 + como UNiX3 todo% #o% archi-o% e%t/n a%ociado% con un inodo3 o un nodo intermediario ,ue contiene in&ormacin %obre un archi-o" A#guno% de #o% dato% contenido% en e# inodo %on 4# tipo de archi-o% (A#guna% -ece% ##amado n2mero m/gico* 4L tamao de# archi-o (en b+te%* Una archi-o de re&erencia3 para no dup#icar archi-o o para ,ue un archi-o apare0can con di&erente% nombre% pero ,ue en e%encia %on e# mi%mo archi-o (##amado% en#ace% o archi-o% en#a0ado%*" http //!!!"codigo#ibre"org $@?
Antonio Perpian
Un puntero a una #i%ta de direccione% de b#o,ue% donde e# contenido de# archi-o actua#mente re%ide" =ario% grupo% de &echa/horaI e7emp#o3 cuando un archi-o &ue 2#timamente acce%ado (atime*3 cuando e# contenido de# archi-o &ue 2#timamente modi&icado (mtime* + cuando e%te inodo &ue actua#i0ado #a 2#tima -e0 (ctime*" Campo% re#acionado% a %eguridad e# UID + e# GID a# ,ue e# archi-o pertenece" Permi%o% de acce%o a# archi-o o bit%3 #o% cua#e% tambi5n %on ##amado% modo de bit% (e.aminaremo% e%o% bit% en deta##e*"
E0 UID - E0 GID Lo% permi%o% %on un con7unto de bit% ,ue %ir-en de contro# %obre todo% #o% ob7eto% de# %i%tema" 4%to% ob7eto% de# %i%tema %on #o% archi-o%3 directorio%3 inc#u+endo #o% e7ecutab#e%" 4%ta in&ormacin e% mantenida en #a porcin de inodo de# %i%tema de archi-o% donde #o% ob7eto% %on a#o7ado%" Cierta porcin de# inodo e% re%er-ada" Por #o genera# e%ta porcin e% de $H bit% + e% mane7ada de &orma co#ecti-a como una %o#a entidad" Nue-e bit% %on u%ado% para e# modo de #o% archi-o% (#ectura3 e%critura3 e7ecucin*" )re% bit% adiciona#e% de%criben o e%tab#ecen como e%o% bit% pueden traba7ar con cierto% UID + GID ,ue e%t/n tambi5n a%ociado% con e# archi-o" Lo% UID %on unicamente indicado% en e# archi-o de# %i%tema /etc/pa%%!d" 4# GID e%ta unicamente de%crito en e# archi-o de# %i%tema /etc/group" Cuando a#guien comien0a u%ando e# %i%tema3 un proce%o e% iniciado para cada in-ocacin de# u%uario" 4%te proce%o e% ra%treado por e# 6erne# + #uego e% a%ignado a un recur%o ta# como #a memoria3 CPU3 I/O3 + a%' %uce%i-amente" Para a+udar a# 6erne# a ra%trear e%ta in&ormacin3 cada proce%o debe tener un identi&icador de proce%o (PID*" Cada PID tiene en %u tab#a otro% cuatro n2mero%" Do% %on #o% +a mencionado% UID + GID" Adiciona#mente3 un par e.tra de n2mero% UID + GID %obrante por e# ca%o de ,ue e# u%uario %e cambie a otro u%uario + %u ni-e# de pri-i#egio% u%ando #a contra%ea de e%e u%uario" 4n ta# ca%o3 #o% e&ecti-o% UID + GID %on di&erente% de #o% -a#ore% &i7ado% inicia#mente" 4%o% -a#ore% e&ecti-o% %on e-a#uado% por e# 6erne# de UNiX para conceder acce%o de acce%o o denegar#o" 2(5"r B(!#: Se!u(+F Se!g(+ - S!()D- B(!# A#guno% programa% #e re,uieren a #o% u%uario% tener ni-e#e% de root ante% de e%to% %er in-ocado%" 9abi#itando %etuid para un programa #e permite a un u%uario regu#ar in-ocar#o + #uego tener#o e7ecutado con todo% #o% pri-i#egio% de root (o a#guno% otro% u%uario%*" Por e7emp#o3 cuando #o% u%uario% cambian %u propia contra%ea3 e##o% nece%itan #o% mi%mo% permi%o% de root para hacer e# cambio" 4# prob#ema con %etuid e% ,ue cua#,uier programa a# cua# %e #a ha+a concedido e%te pri-i#egio %e con-ierte en un en#ace potencia# de debi#idad" De%de ,ue e# programa tiene e# mi%mo acce%o como root3 un ata,ue a tra-5% de e%e %enci##o programa puede comprometer #a %eguridad de# %i%tema comp#eto" La% caracter'%tica% de 1etgid e% ,ue e% otra herramienta u%ada para a+udar a determinar #o% permi%o% de #o% archi-o%" 1i e# bit 1etgid e% &i7ado en un directorio3 #uego cua#,uier archi-o creado en e%e directorio tendr/ #a propiedad de# grupo de e%e directorio ma% bien ,ue e# grupo por de&ecto de# u%uario" Un programa puede tener ambo% bit% &i7ado a# mi%mo tiempo" La %iguiente tab#a mue%tra #o% bit% e.tra% ,ue %e &i7an + ,ue pueden %er u%ado% para e# cambio e&ecti-o de #o% UID + GID" 4# bit de %etuid e% e# d5cimo %egundo bit3 e# bit de 1etgid e% e# d5cimo primero + e# 1tic6+ bit e% u%ua#> mente #o% re%tante% die0 bit en e# inodo de $H bit de #a pa#abra" B(! +e Per&(#, S(g ('()"+, http //!!!"codigo#ibre"org $@@
Antonio Perpian % 1 % 1 t
Fundacin Cdigo Libre Dominicana Cuando e% &i7ado en e# componente propietario de# archi-o3 e%to #e indica a# 6erne# Linu. ,ue e% e7ecutado3 e%te UID e&ecti-o debe %er &i7ado para e%o de# propietario" 4%to indica ,ue e# %etuid e%ta encendido3 pero e# bit de e7ecucin (.* no ha %ido &i7ado" Cuando e% &i7ado en e# componente de# grupo de# archi-o3 e%to indica a# 6erne# Linu. e%o %obre #a e7ecucin3 e# GUI e&ecti-o debe %er &i7ado para e%e grupo" 4%to indica ,ue e# 1etgid e%ta encendido3 pero ,ue e# bit de e7ecucin (.* de# grupo no e%ta &i7ado" 4%te e% e# 1tic6+ bit" 1obre #a terminacin de# programa3 e%te indica ,ue e# programa no %era inmediatamente remo-ido de%de e# /rea %!ap" 4%to e% ob%o#eto" 1i%tema% UNiX moderno%3 + GNU/Linu. e% uno3 ignoran e%te bit + toman %u% propia% deci%ione% %obre #a admini%tracin de #a memoria" 4%te e% e# 1tic6+ bit" Cuando e% &i7ado en un directorio3 un u%uario %o#o puede borrar archi-o% en e%e directorio %i e% e# propietario + tiene #o% permi%o% de e%critura para e%e archi-o"
4# programa ,ue nece%ita permi%o% e.tra% u%a #a% caracter'%tica% de 1UID/1GID" Por e7emp#o3 e# programa pa%%!d3 e# cua# debe de e%cribir a# archi-o de contra%ea% de# %i%tema%3 nece%ita e7ecutar%e con #o% permi%o% de root para rea#i0ar e%a tarea" Por ,ue e# mecani%mo de 1UID/1GID tempora#mente #e concede a un u%uario ma% permi%o% ,ue #o% derecho% dado% norma#mente a e%te3 todo% #o% programa% en un %i%tema ,ue tienen e%te bit deben %er monitoreado + e.aminado por cambio% continuamente" E5er)()(, J$1: Bu#.ue 0,# /r,gr"&"# Se!u(+ - Se!g(+ e #u S(#!e&" La %o#ucin para e%te e7ercicio e%ta pro-i%ta en e# Ap5ndice a# &ina# de e%te manua#" $* Compruebe e# %iguiente comando + bu%,ue #o% comando% con #o% bit% de 1etuid/1etgid para -er %i %e encuentran a#guno% en %u %i%tema Ur,,!X0,)"0G,#! " !, (,VZ '( + /#4( ^> $/er& aK777 $, $/er& a@777 ^? $e%e) 0# $0 ^dê ^_ ;* Compruebe #a e.i%tencia de archi-o% g#oba#e% ,ue pueden %er e%crito% en %u directorio home + en /%bin + compare e# re%u#tado Ur,,!X0,)"0G,#! " !, (,VZ '( + /G,&e/" !, (, $/er& $@ f $!-/e 0 $e%e) 0# $0 ^dê ^_ Ur,,!X0,)"0G,#! " !, (,VZ '( + /#4( $/er& $@ f $!-/e 0 $e%e) 0# $0 ^dê ^_ ?* Pruebe #o% archi-o% en %u directorio home ,ue u%ted no e% e# propietario U" !, (,X0,)"0G,#! [VQ '( + /G,&e/" !, (, $ ,u#er $, $ ,gr,u/ @Y/+eA/ u00 g %"rg# 0# $0 @* Pruebe por archi-o% "rho%t% W &ind /home >name "rho%t% J* CDu5 e%ta ma# (de%de una per%pecti-a de %eguridad* con e# comando #i%tado en e# pa%o @E H* CCmo u%ted bu%car'a en %i%tema por archi-o% ho%t%"e,ui-E A* CCmo u%ted podr'a &i7ar e%to% comando% para ,ue %e e7ecuten autom/ticamenteE B* CDu5 #ogra e# u#timo %et de par/metro% de# pa%o $E $e%e) 0# $0 ^dê ^_ Re)ur#,# +e ( ',r&")(* +e Segur(+"+ 9a+ mucho% recur%o% en Internet ,ue pueden a+udar a &orta#ecer #a %eguridad de un %i%tema GNU/Linu." Uno de #o% concepto% ma% importante% tran%mitido% por #o% #a ma+or'a de %itio% de Internet ,ue pro-een in&ormacin de 1eguridad e% ,ue #a %eguridad ba%ada en e# o%curanti%mo no &unciona" Pue%to de #a manera ma% %imp#e3 no ha+ ning2n bene&icio en encubrir #a% debi#idade% de %eguridad3 ni #a% herramienta% ,ue #a% pueden e.p#otar" De hecho tener #o 2nico ,ue puede a+udar a# admini%trador a e%tar preparado para en&rentar cua#,uier http //!!!"codigo#ibre"org $@J
Antonio Perpian atacante e% in&ormacin"
4ncubrir #a% #a% -u#nerabi#idade% por #o genera# re%u#tar/ en una %ituacin donde e# atacante tendr/ ma% conocimiento% ,ue e# admini%trador3 #o cua# e% re-e#a un ambiente pobre de %eguridad" La% &uente% ,ue pro-een in&ormacione% %obre #a% -u#nerabi#idade% + #o% prob#ema% de %eguridad ,ue a&ectan #o% %i%tema% %on e# me7or a#iado de #o% encargado% de a%egurar %i%tema%" La% in&ormacione% %obre a%unto% de %eguridad pueden %er obtenido% de mucha% &uente%3 ta#e% como %itio% <eb3 #i%ta% de correo + grupo% de noticia%3 para mencionar uno% cuanto%" 4n e%ta %eccin di%cutiremo% #o% %iguiente% tema% ,ue %on una pe,ue'%ima #i%ta de a#guno% de #o% ma% popu#are% #ugare% para obtener in&ormacin %obre a%unto de %eguridad C48)/CC Chroot6it"org 4# In%tituto 1AN1 1ecurit+Focu%"com Grupo% de Noticia% De%cripcin + Ap#icacin de #o% Parche% de# \erne# CERT/CC 4# 4,uipo de 8e%pue%ta% A 4mergencia% Computaciona#e%/Centro de Coordinacin (C48)/CC* e% un gran centro de reporte% para e.p#oit% + otra% debi#idade% de %i%tema% ,ue %on de%cubierta%" C48)/CC &ue &undada en #a uni-er%idad de Carnegie Ke##on en Diciembre de# $OBB por #a Agencia de Pro+ecto% de De&en%a e In-e%tigacin A-an0ada (DA8PA* poco de%pu5% de# incidente de# gu%ano de Korri%3 e# cua# impacto ma% de# $GS de todo e# Internet" La re%pue%ta inicia# a e%te ata,ue &ue #a &uncin origina# de# centro3 pero recientemente e%te ha crecido para inc#uir entrenamiento + %uper-i%in de otro% grupo% de re%pue%ta% + pro&e%iona#e% de %eguridad" La in-e%tigacin e% importante en e# centro + e% hecha en toda% #a% /rea% de %eguridad3 inc#u+endo #a% cau%a% de #a% -u#nerabi#idade%3 pre-encin + me7ora" C48)/CC e% ahora una parte de# In%tituto Carnegie Ke##on para 1i%tema% 1obre-i-iente% (CKI11*3 e# cua# &ue e%tab#ecido en Abri# de# ;GGG" CKI11 e% e# e%&uer0o co#aborado de ca%i docena% de organi0acione%" 1u prop%ito e% in-e%tigar #o% a%unto% de %eguridad3 direccionar#o% + de%arro##ar in&ormacin para me7orar #a %eguridad" 4# %itio de C48) (!!!"cert"org* contiene in&ormacin abundante %obre #o% tema% de %eguridad" La pagina principa# contiene t'tu#o% e importante% a#erta% de %eguridad" Cada a#erta contiene in&ormacin deta##ada %obre cua#e% %i%tema% operati-o% %on a&ectado%" 1i un m5todo de re%o#-er e# prob#ema e% encontrado (u%ua#mente %on #i%tado% -ario% m5todo%* in%truccione% deta##ada% hacia #a re%o#ucin %on pro-i%ta%" L(#!" +e C,rre, C48)/CC o&rece una #i%ta de correo% ,ue %up#e in&ormacin %obre prob#ema% de %eguridad actua#e% + tema% re#acionado%" Lo% nombre% de #a #i%ta% no %on pub#icado% + C48) u%a una c#a-e PGP (Prett+ Good Pri-ac+* para &irmar %u% correo%3 #o cua# pre-ienen con%u#ta% &raudu#enta%" Para %u%cribir%e a #a #i%ta3 en-'e un correo a# certad-i%or+>re,ue%tlcert"org con L1U:1C8I:4 h%u direccin e#ectrnicacM en e# a%unto de# men%a7e" 1i #a direccin no &unciona3 intente -i%itando %u %itio en http //!!!"cert"org/contactgcert/certmai##i%t"htm#" CGr,,!D(!I,rg - P,r!"0e# e#/e)("0(6"+,# e De#)"rg"# +e E%/0,(!# /"r" A+&( (#!r"+,re# +e S(#!e&"# 4# porta# chroot6it"org tiene in&ormacin %imi#ar a #a de# C48) de #a% a#erta% + otra% in&ormacione%" 4n e# porta# e##o% tienen #o% cdigo% &uente% para con&igurar3 compi#ar e in%ta#ar e# %o&t!are nece%ario para detectar cua#,uier tipo de root6it ,ue un crac6er ma# intere%ado pudo haber in%ta#ado en nue%tro %er-er para con%eguir http //!!!"codigo#ibre"org $@H
Antonio Perpian in&ormacin + cau%arno% prob#ema%"
4# porta# !!!"#inu.>%ec"net mantiene #i%ta% + de%carga% directa% de otro% porta#e% ,ue %e dedican a co#ocar #o% &uente% + binario% para practicar e.p#oit% ,ue pueden a&ectar nue%tro% %i%tema%" E0 I #!(!u!, SANS 4%tab#ecido en $OBO3 4# In%tituto de Admini%tracin de 1i%tema%3 8ede% + 1eguridad (1AN1* e% una organi0acin de ma% de OH3GGG pro&e%iona#e% ,ue comparten in&ormacin en un e%&uer0o cooperati-o" 4# en&o,ue principa# de# in%tituto e% de e.tender e# conocimiento ,ue bene&iciar/ a# admini%trador de %i%tema% a%' como tambi5n a #o% pro&e%iona#e% de %eguridad + rede%" SerA()(,# A continuacin %e mue%tra una #i%ta de%cripti-a de #o% %er-icio% ,ue e# in%tituto o&rece SANS NeM#B(!e# pro-ee un re%umen %emana# de nue-a% hi%toria% pub#icada% ,ue pertenecen a #a %eguridad" 4# Con%en%o de A#erta de 1eguridad de 1AN1 (1AC* pro-ee un re%umen %emana# de #a% a#erta% de %eguridad + %o#ucione%" E0 Ce !r, +e A C0(#(# +e I )(+e !e# G0,4"0e# pro-ee un programa de re%pue%ta donde #a% -u#nerabi#idade% de %eguridad %on ana#i0ada% + reportada%" 4% un programa -o#untario ,ue pro-ee una gran oportunidad para cua#,uiera ,ue para ,ue co#abore con -eterano% + aprenda t/ctica% para mane7ar ata,ue% de %eguridad" C,&, Su4#)r(4(r#e )odo% #o% %er-icio% ,ue %on o&recido% por e# In%tituto 1AN1 pueden %er acce%ado% en %u %itio <eb G!!/://MMMI#" #I,rg/#" # eM# Se)ur(!-2,)u#I),& 1ecurit+Focu% en http //!!!"%ecurit+&ocu%"com3 e% un %itio <eb ,ue contiene una gran abundancia de %er-icio% + recur%o% re#acionado% con #a %eguridad" SerA()(,# BugTr". e% una #i%ta de correo moderada ,ue &ue e%tab#ecida en No-iembre de $OO? para en&ocar%e en a#ertar a #o% admini%tradore% a ,ue cono0can bug% o e.p#oit% + #a% %o#ucione% o parche% a%ociado%" :ug)ra, e.i%te como un %itio <eb + como una #i%ta de correo ,ue #o% admini%tradore% pueden &irmar para recibir a#erta% re#acionada% con bug% + otro% tema% de %eguridad" :ug)ra, pro-ee di%cu%ione% deta##ada% + a-i%o% de -u#nerabi#idade% de %eguridad" 4% una de #a% me7ore% #i%ta% de correo% conocida%3 con ma% de ;A3GGG %u%criptore%" C,&, Su4#)r(4(r#e Para u%ar cua#,uiera de #o% %er-icio% ,ue 1ecurit+Focu%"com o&rece3 o %u%cribir%e a cua#,uiera de %u% #i%ta% de correo%3 u%e #o% hiperen#ace% de# %itio3 comen0ando en http //!!!"%ecurit+&ocu%"com/" Para %u%cribir%e a #a #i%ta de correo% de# :ug)ra,3 en-'e un correo a# #i%t%er-l%ecurit+&ocu%"com con L1U:1C8I:4 :UG>)8AD Ape##ido3 NombreM en e# cuerpo de# men%a7e" 1ecurit+Focu% #e en-iara una peticin de con&irmacin ,ue nece%itara una re%pue%ta" 1i e%to no traba7a3 -eri&i,ue e# FAD de :ug)ra, para in&ormacione% ma% deta##ada%" Gru/,# +e N,!()("# Lo% grupo% de noticia% %on una manera de ganar in&ormacin -a#io%a perteneciente a %eguridad" Kucho% grupo% de noticia% re#acionado% con %eguridad %on di%ponib#e%" La %iguiente e% una #i%ta corta de grupo% de noticia%I para una #i%ta ma% deta##ada3 -ea http //!!!"cert"org/otherg%ource%/u%enet"htm#" A/0()" +, P"r)Ge# "0 Ner e0 4n GNU/Linu.3 4# 6erne# e% con%tantemente actua#i0ado3 re&inado + recon&igurado" Cambiar e# 6erne# en un http //!!!"codigo#ibre"org $@A
Antonio Perpian
%i%tema puede pro-eer %eguridad + aumento de &uncionamiento" 9a+ -ario% m5todo% de me7orar + actua#i0ar e# 6erne#3 comen0ando de%de #a in%ta#acin de una nue-a di%tribucin con un 6erne# comp#etamente nue-o ha%ta parchear un 6erne# e.i%tente con nue-o cdigo &uente" 4n e%ta %eccin no% en&ocaremo% en me7orar un 6erne# a tra-5% de# m5todo de ap#icar parche%" La ma+or'a de #a% di%tribucione% ponen a di%po%icin actua#i0acione% de# %i%tema en %u% %itio% <eb ,ue contienen actua#i0acione% de %eguridad" Lo% admini%tradore% deben imp#ementar toda% #a% actua#i0acione% re#acionada% con %eguridad pro-i%ta% por %u di%tribucin" Adema% de #o% recur%o% pro-i%to% por %u di%tribucin3 ha+ otro% recur%o% en Internet ,ue pro-een in&ormacione% importante% %obre #a %eguridad de #o% %i%tema%" De#)r(/)(* +e 0,# P"r)Ge# +e0 Ner e0 4# core de# %i%tema operati-o GNU/Linu. e% e# 6erne#" La co#aboracin de mi#e% de programadore% a#rededor de# mundo ha conducido a# de%arro##o continuo + me7ora de# 6erne#3 r/pidamente agreg/ndo#e &unciona#idad a e%te" A%'3 e# 6erne# (Linu.* repre%enta un traba7o en progre%o" Aun,ue e% ma% %eguro ,ue #a ma+or'a de #o% %i%tema% operati-o%3 e# 6erne# Linu. no e% inmune a #a% brecha% de %eguridad" Agreg/ndo#e caracter'%tica% + &unciona#idad a# 6erne# #e pro-ee a un crac6er con ma% punto% de acce%o + agu7ero% potencia#e% de %eguridad" Por,ue e# 6erne# e% e# core de# %i%tema operati-o GNU/Linu.3 #a% debi#idade% de %eguridad pueden abrir e# %i%tema comp#eto a prob#ema% de %eguridad" 1in embargo3 brecha% potencia#e% de %eguridad pueden %er arreg#ada% con cdigo adiciona#3 com2nmente re&erido% como parche%" La habi#idad de parchear e# 6erne# #o con%o#ida + #o hace ma% bene&icio%o para e# u%uario &ina#" Lo% e%&uer0o% co#aborati-o% de #a comunidad de GNU/Linu. #e permite a #o% parche% %er de%arro##ado% r/pidamente cuando %e de%cubren prob#ema% + %on pue%to a #a di%ponibi#idad de #o% u%uario% en Internet" 4# 6erne# e% un intermediario entre e# hard!are + e# %o&t!are3 contro#ando #a% ##amada% de %i%tema%3 #o% ID de proce%o%3 #a e7ecucin de #o% comando%3 etc" 1i un u%uario puede bur#ar a e%te3 entonce% puede ganar acce%o a cua#,uier archi-o a#macenado en e# %i%tema" Un u%uario no autori0ado puede cambiar %u identi&icacin de u%uario por #a identi&icacin de# u%uario root3 #o cua# re%u#tar'a en un u%uario no autori0ado ,ue gana acce%o a# %i%tema como root" A menudo3 #a% medida% de %eguridad con&'an en #o% %er-icio% pro-i%to% por e# 6erne# para imp#ementar medida% de proteccin" Cuando e# 6erne# %e -e comprometido3 entonce% #a %eguridad o&recida por e%a caracter'%tica o %er-icio de# 6erne# %e -ue#-e in2ti# por,ue no e%ta di%ponib#e para e7ecutar%e o conceder acce%o no autori0ado" La comunidad de GNU/Linu. puede r/pidamente de%arro##ar un parche para reparar e%o% agu7ero% de %eguridad una -e0 %on de%cubierto%" Para mantener un %i%tema %eguro3 e# admini%trador debe e%tar enterado de #o% bug% de %eguridad ,ue a&ectan e# 6erne# + e%tar en capacidad para ap#icar e# parche apropiado" Lo% admini%tradore% tambi5n deben comparar #o% bene&icio% de ap#icar un parche a un 6erne# e.i%tente o #a opcin de compi#ar una nue-a -er%in de# 6erne# e%tab#e" SYSLOG 1+%#og e% u%ado para co#ectar + a#macenar #o% men%a7e% de #og de# 6erne# + #a% ap#icacione% #oca#e% o de red" 4ric A##man de #a Uni-er%idad de :er6e#e+ de Ca#i&ornia di%eo e# programa %+%#og para dar#e a# admini%trador de %i%tema% contro# de todo% #a% -enta7a% de #o% #og en una ma,uina con un programa centra#i0ado" Dependiendo en #a e.periencia + ,ui0/% #a %uerte de# atacante3 e# %i%tema de #og puede %er modi&icado de%pu5% de un ata,ue para encubrir #a% pi%ta% de# intru%o" 4%te encubrimiento puede ocurrir de &orma in-o#untaria por una ma#a con&iguracin + ,ue %obre%criba #o% #og% ante% de %er #e'do% o por e# mi%mo intru%o para encubrir %u% pi%ta%" A#guien ,ue ingre%a a# %i%tema + empie0a a &or0ar con #o% archi-o% de# %i%tema e% http //!!!"codigo#ibre"org $@B
Antonio Perpian
probab#e ,ue genere tra&ico en e# %i%tema + ,ue %e regi%tre en #o% #og% ,ue pueden o&recer pi%ta% pro-echo%a de ,ue e%tu-o haciendo3 de donde -ino + cuando pa%o todo" 1on %u% #og% en-iado% a otro %er-idor3 co#ocando &uera de# a#cance de# intru%o en ca%o de ,ue un atacante ingre%e + e#imine %u% pi%ta% de# %i%tema de #og% #oca#3 pero podamo% tener copia% en un %er-idor a#terno" Oca%iona#mente %e deben comparar #o% #og% de #a #oca#idad remota con #o% #og% de# %i%tema #oca# actua#" 4n mucha% di%tribucione%3 -ario% men%a7e% re#acionado% con %eguridad e%tar/n directamente a#macenado% en /-ar/#og/%ecure" 4%te archi-o %er/ un buen candidato para en-iar%e en emai# a otra #oca#idad remota" Lo% %iguiente% tema% %er/n cubierto% en e%ta %eccin Componente% de# 1+%#og Contro#ando 1+%#og Acce%o 8emoto% A%egurando e# 4%,uema de Log% C,&/, e !e# +e S-#0,g Lo% do% componente% de %+%#og %on e# daemon (demonio* %+%#ogd3 e# cua# e% encontrado en e# directorio /%bin + e# archi-o de con&iguracin %+%#og"con&3 e# cua# e% encontrado en e# directorio /etc" %+%#og e% a menudo iniciado en e# momento de inicio de# %i%tema por uno de #o% %cript% de rc" A continuacin mo%traremo% a#guna% de #a% opcione% ,ue pueden %er u%ada% cuando %e inicia %+%#ogd"
O/)(* $" $+ $' $& $# $r Argu&e !, h%oc6etc none harchi-o% de con&"c hmarca inter-a#o none none Pr,/*#(!, 4%peci&ica di&erente% %oc6et% a #o% cua#e% %+%#ogd e%cucha" Inicia e# debugging 4%peci&ica un archi-o de con&iguracin a#ternati-o" 4%peci&ica e# n2mero de minuto% entre #o% men%a7e% de #og% marcado%" 4%peci&ica un nombre de dominio ,ue debe %er ,uitado ante% de# #og" 1uprime #o% men%a7e% de #og recibido% por e# ho%t remoto"
C, !r,0" +, S-#0,g 1+%#og e% contro#ado por e# archi-o de con&iguracin /etc/%+%#og"con&3 un archi-o de te.to ,ue con%i%te en reg#a% para e# #og3 con una reg#a por #inea" 4%te archi-o de con&iguracin e% de %o#o #ectura cuando %+%#ogd e%ta acti-o" 1i %e han hecho cambio% a# %+%#og"con&3 e# e# %+%#ogd debe de %er reiniciado para ,ue cargue #a nue-a con&iguracin" Lo% comentario% %on precedido% con e# caracter W" Cada reg#a con%i%te de do% campo%3 e# campo de %e#eccin + e# campo de accin" La% reg#a% %on e# %iguiente &ormato #e0e)!,r W!"4Y "))(* 4L %e#ector contiene do% parte%3 #a &aci#idad + #a prioridad3 #a% cua#e% e%t/n %eparada% por un periodo" K2#tip#e% %e#ectore% pueden %er combinado% con un punto + coma + m2#tip#e% &aci#idade% pueden %er combinada% con una coma" A#guno% e7emp#o% de manera% -a#ida% de combinar + dar &ormato a #o% %e#ectore% %on
'")(0(+"+I /r(,r(+"+ '")(0(+"+ 1I/r(,r(+"+ :'")(0(+"+ @I/r(,r(+"+@ '")(0(+"+F'")(0(+"+ @I /r(,r(+"+ bI /r(,r(+"+ "))(* "))(* "))(* "))(*
Una reg#a en e# archi-o %+%#og"con& puede parecer como e%to "u!GIDer Ierr /A"r/0,g/err,r0,g http //!!!"codigo#ibre"org $@O
Antonio Perpian
4n e%te e7emp#o3 #a% &aci#idade% %on auth + 6ern" Actua#mente #a% &aci#idade% generan e# #og" err e% #a prioridad o #a importancia de# men%a7e" /-ar/#og/error#og e% #a accin" 4n e%te ca%o3 #a accin #e dice a %+%#ogd ,ue guarde #o% men%a7e% #og% a# archi-o #oca# /-ar/#og/error#og" 2")(0(+"+e# La% &aci#idade% %on di&erente% programa% ,ue en-'an men%a7e% a# %+%#og para %er e%crito% a #o% #og%" La% &aci#idade% %on para u%o% e%pec'&ico%3 ta# como 6ern para e# 6erne# + &aci#idade% ,ue cubren /rea% pueden inc#uir -ario% programa%3 ta# como e% auth" 1i un programa no e%ta cubierto ba7o una &aci#idad e%peci&ica3 e%ta ba7o e# u%uario de &aci#idade% gen5rica%" A continuacin mo%traremo% &aci#idade% ma% re#e-ante% como tambi5n una bre-e de%cripcin de e%ta%"
2")(0(+"+ 6ern u%er mai# #pr auth authpridaemon cron #oca# G>A mar6 &tp ne!% Y De#)r(/)(* 4# 6erne# Proce%o% de# u%uario regu#ar 4# %i%tema de correo 4# %i%tema de impre%in 4# %i%tema de autenticacin Ken%a7e% de autenticacin pri-ada Otro% demonio% de# %i%tema 4# daemon cron Para e# u%o #oca# (%udo3 dhcp3 etc"* Una &aci#idad de time%tamp 4# daemon &tp 4# %i%tema de noticia% U%enet De&ine toda% #a% &aci#idade%
N(Ae0e# +e Pr(,r(+"+ La prioridad de&ine #a %e-eridad de# men%a7e a %er #ogeado" 1u rango e% de%de men%a7e% de e#iminacin de errore%3 ta#e% como e# debug3 a men%a7e% de emergencia%3 ta#e% como emerg" A continuacin mo%traremo% #o% di&erente% ni-e#e% de prioridad con %u de%cripcin"
Pr(,r(+"+ emerg a#ert crit err !arning notice in&o debug De#)r(/)(* Una condicin de emergencia3 ta#e% como una eminente &a##a de# %i%tema" Condicin ,ue debe %er corregida inmediatamente3 ta#e% como un %i%tema de ba%e de dato% corrupto" Un error critico3 ta#e% como #a &a##a de un di%po%iti-o de hard!are" Un error ordinario" Precaucin" No e% un error3 pero de be %er mane7ado como e# mi%mo" Un men%a7e in&ormati-o" Ken%a7e de e#iminacin de errore%"
Lo% e%peci&icadore% pueden %er u%ado% para remp#a0ar prioridade%" 4# a%teri%co (Y* puede %er u%ado para de&inir toda% #a% prioridade%" 4# %igno de e.c#amacin (j* ignorara #a prioridad ,ue e%te precede" 4# %igno de igua# (X* re%tringir/ #ogear%e de #a prioridad ,ue e%te precede ma% bien ,ue #ogear todo% #o% men%a7e% con a#ta% prioridade%" La pa#abra LnoneM pueden %er u%ada% en #ugar de una prioridad para e.c#uir #a &aci#idad ,ue #a precede" A))(, e# 4# campo de accin #e dice a# %+%#og ,ue hacer con #o% men%a7e% ,ue e%te recibe" Lo% men%a7e% pueden %er grabado% a un archi-o #oca#3 #uego reen-iado a una ma,uina remota e7ecutando %+%#og3 o mo%trado en panta##a de #o% u%uario% ,ue han ingre%ado en e# %i%tema" Actua#mente3 do% o ma% reg#a% deben %er u%ada% por ,ue no ha+ pro-i%ione% para accione% m2#tip#e%" A continuacin de%cribiremo% a#guna% accione% http //!!!"codigo#ibre"org $JG
Antonio Perpian
A))(* &i#ename lho%tname lipaddre%% u%ername3u%ername; Y

De#)r(/)(* Guarda #o% men%a7e% en un archi-o #oca# 8een-i/ men%a7e% a un %+%#ogd en una ma,uina remota3 e%peci&icando #a ma,uina por nombre de ho%t 8een-i/ men%a7e% a un %+%#ogd en una ma,uina remota3 e%peci&icando #a ma,uina por %u direccin ip Kue%tra #o% men%a7e% en #a panta##a de# u%uario e%peci&icado %i ha ingre%ado a# %i%tema Kue%tra #o% men%a7e% en #a panta##a de todo% #o% u%uario ,ue actua#mente han ingre%ado a# %i%tema"
A))e#, Re&,!, Lo% c#iente% de #a red u%ua#mente reen-'an %u% men%a7e% importante% a un %er-idor centra# de archi-o% #og%" )eniendo todo% #o% men%a7e% importante% de #og en un %o#o #ugar a+uda a %imp#i&icar e# deber de un admini%trador de red" 4n una red de -ario% ciento% o mi#e% de ma,uina%3 %eria una tarea tedio%a para un admini%trador de red -eri&icar #o% archi-o% #og% en cada ma,uina por %eparado" Para u%ar una %er-idor centra# de archi-o% #og%3 e# archi-o %+%#og"con& debe de %er con&igurado en cada ho%t para ,ue en-'e %u% men%a7e% a# %er-idor de archi-o% de #og%" %+%#ogd debe de %er con&igurado para aceptar men%a7e% de%de un ho%t en e# %er-idor de archi-o% de #og%" A#egur" +, e0 E#.ue&" +e L,g# 4% nece%ario para e# admini%trador de red a%egurar #a ma,uina donde #o% men%a7e% de #og% %on a#macenado%" 1i un intru%o tiene acce%o a e%ta #oca#idad3 e%te pueden &/ci#mente ree%cribir#o% + e#iminar toda% #a% pi%ta% de %u% acti-idade%" 1i e%to ocurre3 ninguna cuenta de# intru%o permanecer/ en e# #og" 4%to puede hacer ,ue %ea di&'ci# ra%trear e# origen de# ata,ue dado ,ue #o% archi-o% #og% %on #o% primero% en %er re-i%ado% de%pu5% de ,ue ocurre un ata,ue" 1i e% po%ib#e3 e# %er-idor de archi-o% de #og% no deber'a %er-ir para otro prop%ito ,ue archi-ar #o% #og% + tendr'a tanta% cuenta% de #og% como &ue%e po%ib#e" Nadie ma% ,ue e# admini%trador debe de tener una cuenta en e# %er-idor por,ue ganando acce%o de #a cuenta de# %uperu%uario puede %er tri-ia# %i una cuenta #oca# en e# %er-idor e% comprometida" Adem/%3 a#guno% daemon% + puerto% abierto% %e #e% hacen di&'ci# a #o% atacante% para ganar acce%o no autori0ado remotamente" 4%to puede %er una buena idea tener un %er-idor de archi-o% #og% ,ue e%te en una #oca#idad di&erente a #a% otra% ma,uina% en #a red" 4%te e% un punto e%pecia#mente -/#ido %i e.i%ten u%uario% en #a red ,ue deben ingre%ar a# %i%tema + no %on de nue%tra entera con&ian0a" Cuando #a opcin >r e% u%ada para habi#itar e# acce%o remoto a #o% archi-o% de #og%3 %+%#ogd aceptar/ men%a7e% de%de cua#,uier parte" 4%to abre #a po%ibi#idad de ,ue un ata,ue Do1 %ea admini%trado en-iando grande% cantidade% de men%a7e% #og% &a#%o% a# %er-idor de archi-o% #og%" 4%ta accin puede pre-enir ,ue #o% men%a7e% -/#ido% %ean recibido% + ,ue e# %er-idor %e %ature con archi-o% #og% rep#eto% de in&ormacin ba%ura3 + ha%ta ,ue e# %er-er pare de recibir men%a7e% por #argo% periodo% de tiempo" Lo% admini%tradore% de rede% deben de #imitar #a #i%ta de direccione% IP ,ue %on aceptada% para conectar%e a# %er-idor de archi-o% #og%" Otra co%a importante e% ,ue e# acce%o a# %er-idor de archi-o% #og% debe %er b#o,ueado %u acce%o de%de &uera de #a red %i e% po%ib#e a# ni-e# de router" S(#!e&" +e M, (!,re, La% &recuente% prueba% + e# buen mantenimiento de #a %eguridad de una red o ho%t e% una parte -ita# de %a#-aguardar #a in&ormacin ,ue e%te contiene" Un admini%trador de %i%tema% debe de e%tar di%ponib#e para r/pidamente detectar + reparar agu7ero% de %eguridad en una red o ho%t + tambi5n e%tar en di%po%icin para monitorear#o% en -i-o por po%ib#e brecha% de %eguridad" 4%ta %eccin e.p#ica a#guna% /rea% + t5cnica% importante% u%ada% para monitorear acti-amente #o% ho%t% + #a% rede%" 4%t/n inc#uido% a#guno% programa% popu#are% uti#i0ado% cuando %e e%t/n probando #a% rede% + ho%t% por http //!!!"codigo#ibre"org $J$
Antonio Perpian agu7ero% de %eguridad"
4%to% programa% #e permiten a# admini%trador de %i%tema% conocer ,ue acti-idad ocurre en #a red3 ta#e% como cuando #o% u%uario% ingre%an o %a#en de# %i%tema3 correo% ,ue entran + %a#en de# %i%tema% + cua#e% archi-o% %on tran%&erido% a tra-5% de #a red" Programa% de e%te tipo pueden regi%trar tran%accione% ,ue ocurren entre %u red + rede% remota%" 4n e%ta %eccin %e di%cutir/n #o% %iguiente% tema% In&ormacin de #o% Archi-o% Log% Konitoreo de #o% archi-o% de Log% + Uti#itario% de Admini%tracin Auditoria de 1eguridad Integridad de #o% Archi-o% Uti#itario% de =eri&icacin de #a Integridad I ',r&")(* +e 0,# Ar)G(A,# L,g# Cuando %e e%t/ monitoreando una red para po%ib#e% brecha% de %eguridad3 #o% archi-o% #og% %on una &uente e%tupenda de in&ormacin" 4%to% #e pro-een una -a%ta cantidad de in&ormacin concerniente a #o% intento% de ingre%o a# %i%tema3 #eg'timo% e i#eg'timo%3 men%a7e% de# %i%tema + acce%o remoto" U%ando e%ta in&ormacin3 #a deteccin de un acce%o no autori0ado + ,ui0/% #a po%ib#e identi&icacin %ub%ecuente de un intru%o e% po%ib#e" La primera + ma% ob-ia manera de -eri&icar un ingre%o no autori0ado %o%pecho%o e% de%de #o% archi-o% #og% de ingre%o de# %i%tema" Cuando un u%uario acce%a una red3 %i e% root o un u%uario %in pri-i#egio3 un #og% e% mantenido de cada intento" )'picamente3 todo% #o% intento% de #ogin %on mantenido% en e# archi-o /-ar/#og/%ecure" Una e.aminacin pro&unda de e%te archi-o puede decir#e a un admini%trador de %i%tema% %i una per%ona ha tratado de ingre%ar i#ega#mente a #a red a tra-5% de repetido% intento% de #ogin &a##ido% + de%de donde3 cu/# era %u IP3 #o% #ogin &ueron intentado%" Adiciona#mente3 un #og e% mantenido por un periodo de tiempo prudente3 dependiendo #a po#'tica de #a empre%a" 9a+ un n2mero de archi-o% %eguro% (%ecure3 %ecure"$3 %ecure";3 etc"* ,ue contiene in&ormacin de %u% re%pecti-a% periodo% de tiempo" 4# n2mero ma% pe,ueo indica e# #og ma% reciente" Por #o tanto3 un admini%trador de %i%tema% puede decir %i #a brecha &ue un incidente ai%#ado o una ocurrencia repetiti-a" Ka% %igni&icante ,ue e# #ogin de un u%uario en genera# e% e# #ogin de un %uperu%uario" La po%ibi#idad de %eguir #a pi%ta de u%uario% ,ue %on a#macenado% en e# #og como %uperu%uario% e% importante" Loca#i0ado en /-ar/#og/%u#og3 e# archi-o %u#og de7a a# admini%trador de %i%tema -eri&icar todo% #o% intento% de #ogin con 5.ito + #o% ,ue no #o tu-ieron" Por #a cantidad de pri-i#egio% ,ue tiene un %uperu%uario3 cua#,uiera con intencione% ma#icio%a% ,ue pudo ingre%ar a# %i%tema como %uperu%uario %er/ una gran amena0a para #a red" Otro archi-o de #og importante ,ue puede a#ertar a# admini%trador de %i%tema %obre un po%ib#e ingre%o no autori0ado e% e# men%a7e de# archi-o #og" Cua#,uier men%a7e de# admini%trador de %i%tema producida por #a red e% a#macenado dentro de /-ar/#og/me%%age%" La habi#idad de e%canear #o% men%a7e% de #o% #og% puede pro-eer a# admini%trador de %i%tema% con in&ormacin -a#io%a no %o#o de prob#ema% de# %i%tema3 %ino tambi5n de men%a7e% genera#e% de# %i%tema ,ue un po%ib#e intru%o pudo haber producido" M, (!,re, +e 0,# "r)G(A,# +e L,g# - U!(0(!"r(,# +e A+&( (#!r")(* UNiX + %u% -ariante% %ub%ecuente%3 inc#u+endo GNU/Linu. tienen grande% capacidade% de a#macenamiento de #og% ,ue por #o genera# %on inc#uido% en %u% in%ta#acione% por de&ecto de# %i%tema" De%a&ortunadamente3 e%o% #og% pueden tener %inta.i% ,ue di&ieren en %u% &ormato% de uno a# otro3 haci5ndo#o% por ende di&icu#to%o% de #eer http //!!!"codigo#ibre"org $J;
Antonio Perpian
para #o% admini%tradore% de %i%tema% no e.perimentado%" 4%to puede pre%entar un prob#ema de %eguridad +a ,ue #o% #og% de# %i%tema %on a menudo #a 2nica e-idencia di%ponib#e a #o% admini%tradore% de%pu5% de #a -io#acin de una brecha de %eguridad" Con todo + e%to #o% #og% deben de %er #e'do% con mucha &recuencia" 1e puede decir ,ue cada cone.in hecha por )CP/IP3 NF1 o #a entrada o %a#ida de# %i%tema de un u%uario pueden %er ra%treada% u%ando #o% archi-o% #og% de GNU/Linu." 9a+ mucho% programa% di%ponib#e% para pro-eer#e a un admini%trador de %i%tema% con #o% re%u#tado% de #o% #og% de# %i%tema %in tener ,ue e.aminar #o% #og% directamente" La #ectura de #o% #og% e% un traba7o tedio%o + propen%o a errore%" A#guno% de #o% mucho% programa% di%ponib#e% a #o% admini%tradore% para #eer #o% #og% %on 1!atch3 X#ogma%ter + Logchec6" 4%to% programa% pro-een una manera ,ue &aci#ita para #o% admini%tradore% de %i%tema% #a -eri&icacin de %u% #og% con mucha &aci#idad + e&iciencia" Adem/% de u%ar e%o% uti#itario%3 ha+ do% pa%o% ,ue #o% admini%tradore% deben tomar para a+udar a ma.imi0ar #a %eguridad de %u% %i%tema% $" A%egura%e de #o% permi%o% a #o% archi-o% #og%3 para ,ue %o#o e# u%uario root e%te en po%ibi#idad de #eer#o% + e%cribir#o%" 4%to a+uda a a%egurar #a in&ormacin %en%ib#e ,ue puede potencia#mente comprometer un %i%tema ,ue no %er/ acce%ado por u%uario% no de%eado%" ;" 4%te %egundo e# cua# e% probab#emente e# ma% importante3 #eer #o% archi-o% #og%" U%ando #o% uti#itario% de%cripto% en e%ta %eccin3 + mucho% otro% di%ponib#e% #e a+udar/ a organi0ar #a in&ormacin importante3 pero e%ta organi0acin no puede %er tomada como &in en e##a mi%ma" 4% me7or iniciar teniendo dema%iada in&ormacin para #eer3 pue%to ,ue3 ha+ -ece% ,ue e# in%tinto de# admini%trador %e e,ui-oca + #a re%pue%ta %e encuentra donde meno% #o e%peraba3 a%' ,ue toda #a in&ormacin e% importante" La in-e%tigacin de cua#,uier entrada inu%ua# e% ##e-ada a cabo en e%o% archi-o%3 aun,ue ha+ ,ue entender como e%a% entrada% no autori0ada% pueden %er hecha%3 a+udar/ a determinar #a% entrada% ,ue nece%itan %er &i#trada%" L,gr,!"!e Logrotate e% un %i%tema de rotacin de #og% (archi-o% de in&ormacin de e%tado ,ue generan a#guno% programa%3 %obretodo en entorno% pro&e%iona#e%3 como #o% e% #a p#ata&orma GNU/Linu.*" La uti#idad #ogrotate e%t/ pen%ada para %imp#i&icar #a admini%tracin de #o% archi-o% #og% en a,ue##o% %i%tema% en #o% ,ue %e generan en grande% cantidade%3 como por e7emp#o %er-idore% de Internet" #ogrotate e&ectu/ una rotacin autom/tica con po%ib#e compre%in de #o% dato% + otra% opcione%3 como %u borrado programado o en-'o por emai# a# admini%trador" #ogrotate %e puede programar para ,ue rote #o% archi-o% una -e0 a# d'a3 a #a %emana o men%ua#mente3 o inc#u%o en cua#,uier otra &uncin de tiempo + par/metro de tamao #'mite" Norma#mente3 #ogrotate %e e7ecuta una -e0 a# d'a3 %eg2n #o e%tab#ece e# archi-o cron"dai#+" In%ta#e e%t/ uti#idad %i nece%ita traba7ar con gran cantidad de archi-o% de #og + de gran tamao" Ahorrar/ di%co + ganar/ c#aridad en #a admini%tracin de %u %i%tema" La con&iguracin de #ogrotate %e e&ectu/ en e# archi-o /etc/#ogrotate"con&" SWATCH 4# uti#itario 1!atch e% di%eado para monitorear #o% archi-o% #og% + noti&icar a# u%uario de cua#,uier entrada inu%ua# en e# #og" 9a+ do% manera% en #a ,ue %!atch puede e7ecutar%e3 #a% cua#e% %on batch + monitor" 4# modo batch #e permitir/ a# u%uario e.aminar e# archi-o #og + #uego %a#ir3 mientra% ,ue e# modo monitor -eri&icar/ + e-a#uar/ continuamente cada entrada nue-a en e# #og" 9a+ a#guna% manera% di&erente% en #a% ,ue %!atch puede noti&icar a# u%uario %i e%te detecta cua#,uier acti-idad inu%ua#" 4%ta% pueden inc#uir3 una campana en #a termina#3 un emai#3 en-iando men%a7e% a #a -entana de# termina# directamente + codi&icacione% en co#ore%" 1!atch tiene re,uerimiento% de Per# para %er e7ecutado + e%ta di%tribuido ba7o #icencia GPL" Una de%-enta7a de 1!atch e% %i %e nece%ita proteccin en m2#tip#e% computadore%3 un proce%o %!atch debe de e%tar e7ecut/ndo%e en cada uno de e##o%3 a# meno% ,ue #o% archi-o% e%t5n %iendo a#macenado% en una ma,uina centra#" Adem/%3 un proce%o %!atch http //!!!"codigo#ibre"org $J?
Antonio Perpian debe de e7ecutar%e para cada archi-o #og"
1!atch toma -aria% opcione% de%de #a #inea de comando% ,ue pueden %er u%ada% cuando %e e%ta e7ecutando" Por e7emp#o3 >r eafhh mmeamopmf reiniciar/ a %!atch de%pu5% de hh hora% + mm minuto%3 donde e# u%o de eaf reiniciar/ %!atch de%pu5% de ,ue ha+a tran%currido hh + mm en e# pre%ente tiempo" 1in contar #a% opcione% de #a #inea de comando%3 otra% opcione% pueden %er entrada% directamente dentro de# archi-o de con&iguracin de %!atch" 4%te archi-o de con&iguracin e%peci&ica #a% accione% ,ue %!atch tomar/ cuando e%te monitoreando un %imp#e archi-o #og" X0,g&"#!er 4%te programa pro-ee un GUI para #o% admini%tradore% de %i%tema% para -eri&icar in&ormacin %obre %u %i%tema" Lo% de%p#iegue% para X#ogma%ter %on de%crito% a continuacin E !r"+" De#)r(/)(* Ken%a7e% de# 1i%tema Kue%tra #a %a#ida de# archi-o /-ar/#og/me%%age%" Ken%a7e% de# arran,ue Kue%tra #a %a#ida de# archi-o /-ar/#og/boot"m%g" U%o de# Di%co Duro De%p#iega #a %a#ida de# comando d&" Duien e%ta en #inea De%p#iega #a %a#ida de# comando !" Arbo# de proce%o% De%p#iega #a %a#ida de# comando p%tree" La% otra% entrada% %on hecha% con&igurando e# archi-o k/".#ogma%ter" 4%te archi-o contiene toda #a in&ormacin de con&iguracin para cada %e%in de# X#ogma%ter" 4n e%te archi-o cada entrada e%ta compue%to de cinco campo% di&erente% e# tipo de operacin a %er rea#i0ada3 e# nombre de #a operacin3 e# nombre de# archi-o #og comp#eto ,ue %era -i%to3 e# inter-a#o (en d5cima% de %egundo* entre operacione%3 e# nombre de# botn + #a de%cripcin ,ue aparece %i e# mou%e e% mantenido %obre e# botn" X#ogma%ter %oporta tre% operacione% 8UN3 CA) + )AIL" 8UN e% u%ado cuando un uti#itario3 programa o un %he## e% u%ada" CA) dar/ una %a#ida a# archi-o comp#eto %in -eri&icar ,ue a#go ha %ido a#terado" 4%te puede %er 2ti# cuando %e -eri&ica a tra-5% de #og% antiguo% ,ue no tienen cambio + para archi-o% ,ue tienen ,ue %er #e'do% comp#etamente cada -e0 (ta# como #o% archi-o% de /proc/*" )AIL dar/ una %a#ida a un archi-o comp#eto + continua #e+endo e# archi-o3 haciendo %a#ir a #a panta##a de X#ogma%ter cua#,uier agregado a# &ina# de# archi-o" 4%te puede %er un programa mu+ 2ti# para ,ue un admini%trador de %i%tema% #a mantenga en panta##a" X#ogma%ter puede %er u%ado para e%canear por prob#ema% de %eguridad3 #uego #ogchec6 puede %er u%ado para a#macenar un diario (r5cord* permanente de #o% prob#ema% de %eguridad" L,g)Ge)D Logchec6 e% una %erie de %cript de %he## ,ue -eri&ican todo% #o% #og% de# %i%tema por pa#abra% c#a-e% ,ue mue%tran e-idencia de ,ue ha ocurrido una ruptura de %eguridad3 o por #o meno%3 intento% &a##ido% de hacer e%o" 1i una acti-idad anorma# e% encontrada3 #ogchec6 #e en-iar/ #a in&ormacin a un u%uario e%pec'&ico (norma#mente a root3 pero puede %er cambiado con&igurando e# programa*" #ogchec6 puede %er programado para e7ecutar%e de%de #o% uti#itario% cron at" Au+(!,r(" +e Segur(+"+ Lo% e#emento% c#a-e% de a%egurar un ho%t %on #a habi#idad de poder ana#i0ar %i han intentado de &or0ar un ho%t + #a inmediata correccin de #a% -u#nerabi#idade% ,ue pudieron po%ib#emente patrocinar e%te hecho" 9a+ do% tipo% de %o&t!are + de t5cnica% ,ue e%t/n di%ponib#e% para a+udar a #o% admini%tradore% en cada ca%o" Uno traba7a con #a parte de deteccin de intru%o%3 detectando %i una brecha de %eguridad ha ocurrido detectando %i a#go ha %ido a#terado3 mo-ido o borrado ma#icio%amente" 4# otro tipo de medida de %eguridad e% imp#ementar http //!!!"codigo#ibre"org $J@
Antonio Perpian
una &orma de poner a prueba #o% ho%t% para %aber %i e%to% tienen debi#idade%" Idea#mente3 #a% brecha% de %eguridad en e# ho%t no ocurrir/n por comp#eto3 + para pre-enir e%a% brecha% medida% pre-enti-a% %on e.tremadamente importante%" Kucho% programa% ta# como 1AIN) + N411U1 a+udan a #o% admini%tradore% de %i%tema% a #oca#i0ar + corregir debi#idade% en #o% ho%t%" De!e))(* +e I !ru#,# 1abiendo cuando + %i una ruptura de %eguridad ha ocurrido en un ho%t e% importante + e% po%ib#e con #a a+uda de programa% popu#are% como %on )rip!ire3 Ad-anced Intru%in Dectection 4n-iroment (AID4*3 LJ + GogVKagog" 4n genera#3 todo% e%o% programa% rea#i0an #a% mi%ma% &uncione%" De hecho3 AID4 + LJ han nacido de# programa )rip!ire" La gran popu#aridad de )rip!ire %e debe a #a habi#idad de poder con&igurar + per%ona#i0ar un ho%t en particu#ar" Adem/%3 #a in&ormacin ,ue )rip!ire #e pro-ee a# admini%trador de# %i%tema hace ,ue e%te identi&i,ue r/pidamente cua#,uier po%ib#e brecha de %eguridad en un ho%t" La &uncin de )rip!ire e% monitorear #o% archi-o% + directorio% e%pec'&ico% de con&iguracin de una -ariedad de %er-icio%" Anterior a #a e7ecucin de )rip!ire3 %e debe de rea#i0ar un bac6up comp#eto de #o% dato% e.i%tente% en e# ho%t3 #a cua# debe e%tar #ibre de modi&icacione% ma#icio%a%3 e%ta debe de %er a#macenada en un %itio %eguro" Por #o tanto3 cuando )rip!ire -eri&ica un ho%t3 e%te tambi5n -eri&ica e# e%tado actua# de #o% archi-o% + directorio% contra #o% ,ue han %ido a#macenado% en e# bac6up" Cua#,uier di%crepancia #uego %er/ mo%trada + e# admini%trador de %i%tema% %er/ ad-ertido" La de%-enta7a de )rip!ire e% ,ue e%te +a no e% una herramienta de #icencia GPL3 ni open%ource3 e%to %igni&ica ,ue e%te tiene un precio + %u cdigo &uente +a no e%ta di%ponib#e" Otro m5todo %imp#e de deteccin de intru%o%3 + com2nmente pa%ado por a#to3 e% #a #oca#i0acin de #o% nombre% de archi-o% ocu#to%" Un nombre de archi-o ocu#to e% uno en e# cua# %u nombre de archi-o %e inicia con un punto (47" "GNU/Linu.*" La ra0n para un nombre de archi-o ocu#to e% no %er de%p#egado por e# comando #%" Archi-o% ,ue inician con un punto %on comune% archi-o% de con&iguracin de&inido% por #o% u%uario% para dictar e# comportamiento de #a% ap#icacione%" 4# ma+or prob#ema con #o% archi-o% ocu#to% e% ,ue #a ma+or'a de #a% -ece% e# comando #% %e u%a %in e# par/metro >a3 por #o cua# un intru%o puede intenciona#mente crear un archi-o ocu#to e# cua# no %er/ detectado ha%ta ,ue +a %ea dema%iado tarde" Otra manera e% crear intenciona#mente un archi-o ,ue %u nombre %ea %imp#emente un e%pacio en b#anco3 e# archi-o de%conocido pa%ar/ por a#to + puede contener cua#,uier %cript ma#igno + %er e7ecutado por e# intru%o + %er di&'ci# de detectar" Por e%to3 en e# momento de -eri&icar %i e.i%te a#guno ,ue %ea %o%pecho%o e# u%o de# comando #% >a e% ab%o#utamente nece%ario para de%p#egar todo% #o% archi-o% + -eri&icar ,ue no e.i%ten archi-o% con nombre% en b#anco3 a,u' #e% de7o un e7emp#o de do% en b#anco uno e%pacio + e%pacio e%pacio3 note e# campo nombre
U" !, (,X0,)"0G,#! AVQ 0# $0 >r!>r!>r>> $ antonio antonio $$ Feb @ $; G$ >r!>r!>r>> $ antonio antonio $$ Feb @ $; G$ >r!>r!>r>> $ antonio antonio G Feb @ $; G; archi-o"t.t >r!>r!>r>> $ antonio antonio G Feb @ $; G; carta"t.t
PreAe )(* +e I !ru#,# )oda precaucin debe de %er tomada para pre-enir ,ue un u%uario no autori0ado acce%e nue%tra #a red" =ario% programa% a+udan en #a %eguridad de #o% %i%tema% permiti5ndo#e a un admini%trador de %i%tema% probar %i una red tiene debi#idade% ba%ada% en -u#nerabi#idade% + e%tar en a#erta de prob#ema% ,ue nece%itan %er corregido%"
$JJ
Antonio Perpian
Un tipo importante de agu7ero de %eguridad e% #o% 9u%meadore% de Pa,uete% (Pac6et 1ni&&er%*" Lo% hu%meadore% %on u%ado% por #o% crac6er% para robar + -er in&ormacin ,ue ha %ido tran%&erida dentro de una red3 %in importar a ,uien e%a in&ormacin e%ta dirigida" )a# in&ormacin puede puede %er de%de conocer nue%tro di%eo de red interna3 #a% ruta% a #o% archi-o% -ita#e% de nue%tro% computadora%3 #a% acti-idade% ,ue rea#i0an nue%tro% u%uario% en #a red3 inc#u+endo por emai#" La natura#e0a pa%i-a de un pac6et %ni&&er hacen ,ue %ea di&'ci# de detectar#o%3 por #o cua# e.i%ten mu+ poca% manera% de combatir dicho agu7ero de %eguridadI %in embargo3 e% po%ib#e uti#i0ar hard!are ,ue e% re%i%tente a e%to% m5todo% uti#i0ado por #o% crac6er%3 dado e# tipo de cone.in de #a% #o% bac6bone% de &ibra ptica3 por e7emp#o hace ,ue conectar%e a uno de nue%tro% %er-idore% directamente %ea ma% di&'ci#" La ap#icacin Anti1ni&&3 por e7emp#o3 e% una e.ce#ente herramienta para #a deteccin de pac6et %ni&&er%" Anti1ni&& &unciona monitoreando una red en b2%,ueda de pac6et %ni&&er% + computadore% ,ue e%t/n en modo promi%cuo (promi%cuo% mode*" Norma#mente #o% computadore% %on con&igurado% para recibir in&ormacin %o#amente dirigida a e##a%3 pero cuando e%to% %on &i7ado% para recibir in&ormacin de otro computador decimo% ,ue e%t/n en modo promi%cuo3 #o ,ue hace ,ue Anti1ni&& %obre%a#ga cuando %e menciona con otro% %o&t!are detectore% de intru%o% e% #a habi#idad de #oca#i0ar remotamente #a% acti-idade% pa%i-a%" Otro e%c/ner de %eguridad remota mu+ e&ecti-o e% e# Ne%%u%3 e# cua# e% Libre" 4%te no %o#o %e mantiene por una ba%e de dato% de actua#i0acione%3 e%te tambi5n #e permite a #o% u%uario% rea#i0ar %u% propio% te%t de %eguridad3 haciendo de e%te una caracter'%tica mu+ 2ti# para #a% nece%idade% e%peci&ica% de #o% admini%tradore%" Ne%%u% traba7a probando todo% #o% puerto% + #a %eguridad de cua#,uier %er-icio encontrado para %er e7ecutado en e##o%" Adiciona#mente3 Ne%%u% puede pro-eer -eri&icacione% %imu#tanea% de %eguridad para una cantidad de ho%t% i#imitado%" La 9erramienta Integrada de 8ed para Admini%tradore% de 1i%tema% (1AIN)* e% u%ada para a#macenar in&ormacin %obre %er-icio% como NF13 1er-icio de in&ormacin de 8ed (NI1*3 &inger + F)P ,ue %on e7ecutado% en rede% + ho%t%" Kientra% e%ta in&ormacin contiene in&ormacin de cua#e% %er-icio% en una red e%t/n %iendo e7ecutado% + cua#e% ho%t% #o e%t/n e7ecutando3 e%te tambi5n #e da %eguimiento a #a con&iguracin de e%o% %er-icio%" 4%a in&ormacin puede %er -eri&icada con cierta regu#aridad3 para e-itar potencia#e% de&ecto% de %eguridad" 4%o% de&ecto% pueden con%i%tir de %er-icio% con&igurado% incorrectamente por e# admini%trador3 o &a##a% de programacin en cierta% -er%ione% de# %o&t!are3 me7or conocido% como bug%3 o &ina#mente ma#a% po#'tica% ap#icada%" 1AIN) puede reportar e%ta in&ormacin o -eri&icar #o% prob#ema% de %eguridad ba%ado% en #o% dato%" 4%to tambi5n puede e.p#orar ho%t% + rede% e.terna% conectado% a# %i%tema #oca# ,ue e%te e7ecuta" 4%ta habi#idad e% e.tremadamente 2ti# cuando %e e.aminan #a% imp#icacione% de con&iar en #o% %er-icio% ,ue e7ecuta un ho%t -ecino" Cuando %e e%ta u%ando 1AIN)3 un admini%trador de %i%tema% debe de monitorear + contro#ar cuidado%amente ,ue tan #e7o% e%te ##ega + como %u% accione% a&ectan #o% otro% %i%tema%" Un pa,uete e.tremadamente 2ti# ,ue e% inc#uido con #a% di%tribucione% de GNU/Linu. e% e# )CP !rapper de%arro##ado por <it%e =enema" 4# pa,uete de )CP !rapper #e permite a un admini%trador re%tringir #a% cone.ione% a %er-icio% ba%ado% en direccione% IP" 4# ma+or bene&icio de e%te pa,uete e% ,ue cuando %e detecta ,ue %e intenta uti#i0a un %er-icio ,ue e%ta %iendo monitoreado con )CP !rapper3 un n2mero de accione% pueden %er tomada%" 4# ho%t ,ue rea#i0a e# pedido puede %er %ea#ado para ,ue encuentre in&ormacin %obre #o ,ue de%ea3 o entre otra% co%a%3 e%te en-'a un emai# a# admini%trador" 4%ta habi#idad debe %er u%ada con precaucin +a ,ue teniendo un emai# en-iado cada -e0 ,ue un %er-icio a#tamente u%ado e% acce%ado puede cau%ar %obrecarga + po%ib#emente dao% a# %i%tema" Una de #a% manera% ma% 2ti#e% de pre-enir ,ue un intru%o acce%e una red e% a tra-5% de# u%o de un &ire!a##" http //!!!"codigo#ibre"org $JH
Antonio Perpian
Un &ire!a## e&ecti-amente bien admini%trado puede b#o,uear ata,ue% ma#icio%o% en un %i%tema como tambi5n a#macenar en un #og #o% dato% pro-eniente% ,ue pueden %er &i#trado% para detectar %i e% e-idente un ata,ue" Lo% &ire!a##% no %on di&'ci#e% de programar3 + una -e0 e%to% han %ido con&igurado%3 %on &/ci#e% de mantener + hacer#o% cada -e0 ma% robu%to%" 1on #a opcin per&ecta para e# admini%trador no-ato3 +a ,ue e%te puede crecer mientra% e# %i%tema crece + puede %er bien adaptado a #a% nece%idade% de %u red" I !egr(+"+ +e 0,# Ar)G(A,# A #o #argo de# r/pido crecimiento de Internet + otro% %i%tema% de red tambi5n hubo un gran crecimiento en #a cantidad de in&ormacin compartida e intercambiada" Cada d'a mucha in&ormacione% importante% %on en-iada% + recibida% a tra-5% de #o% %i%tema% de rede%" A%' como un carro no opera %in ga%o#ina3 #o% negocio% + otra% in%titucione% no pueden &uncionar apropiadamente %i #a in&ormacin -ita# para %u% operacione% e%ta corrompida o ha %ido -io#ada" 9a%ta #o% u%uario% ca%ero% %u&ren comp#icacione% como re%u#tado de de%cargar de archi-o% corrupto%" Por e%ta ra0n3 e% importante a%egurar ,ue #a integridad de #o% archi-o% %ea mantenida %iempre3 ba7o cua#,uier co%to" La integridad de un archi-o con%i%te en %u e.i%tencia con%tante + ,ue %u in&ormacin %ea incambiab#e3 a# meno% ,ue %e #e% proporcione cambio% e%pec'&ico% e intenciona#e%" Cuando #a integridad de un archi-o ha %ido comprometida3 #o% re%u#tado% %on impredecib#e% + potencia#mente pe#igro%o%" Lo% e&ecto% de tener un archi-o a#terado de %u e%tado pre-i%to puede e%tar en e# rango de%de #o ma% %imp#e ha%ta #o de-a%tador" Cuando un crac6er in-ade un %i%tema3 e##o% pueden e%tar di%pue%to a hacer cua#,uier n2mero de a7u%te% a# %i%tema" 4%o% cambio% pueden e%tar en e# rango de%de agregar + e#iminar archi-o%3 agregar -iru% + reemp#a0ar programa% por )ro+ano%" Uno de #o% bueno% ra%go% de #o% crac6er% e% e#iminar cua#,uier e-idencia de intru%in3 para ,ue a%' #o% cambio% pueden pa%ar %in %er detectado% inde&inidamente3 e# 5.ito de e%ta accin %#o depende de #a% habi#idade% de# intru%o" No %o#o debemo% cuidarno% de #o% crac6er% ,ue hacen dao intenciona#mente %ino tambi5n de #o% u%uario% ,ue por de%cuido o de%conocimiento a&ectan %u %i%tema %in tener ninguna intencin ma#icio%a" Pero e# dao e% e# mi%mo" 1imp#e cambio% a a#guno% archi-o% puede re%u#tar en una degradacin por comp#eto de# %i%tema" A#guno% cambio% pueden abrir -u#nerabi#idade% ,ue no han %ido pre-i%ta por e# admini%trador" Por e%ta% ra0one%3 e% importante tener una manera de -eri&icar + mantener #a integridad de #o% archi-o%" Conociendo ,ue archi-o% han cambiado %u in-a#uab#e in&ormacin cuando %e ra%trean #o% mo-imiento% de a#guien ,ue ha comprometido un %i%tema" Un m5todo de -eri&icar #a integridad de un archi-o e% u%ando chec6%um" Un %i%tema de chec6%um en-ue#-e agregar a un archi-o un n2mero ,ue repre%enta e# tamao de# archi-o en bit%" Cuando e% nece%aria #a -eri&icacin de integridad3 e# chec6%um puede %er comparado a# tamao de# archi-o3 + %i e.i%te una di&erencia3 e# archi-o ha %ido cambiado" Por e7emp#o3 )CP uti#i0a un chec6%um en cada pa,uete ,ue e%te tran%mite para a%' a%egurar ,ue cada pa,uete ##egue %eguro + %in cambio% mientra% %on tran%mitido% de%de un punto a otro en una red" Un m5todo %imi#ar de #oca#i0ar errore% en archi-o% tran%mitido% e% #a -eri&icacin de redundancia c'c#ica" La =eri&icacin de 8edundancia C'c#ica (C+c#ic 8edundanc+ Chec6 >C8C>* in-o#ucra #a ap#icacin de po#inomio% a una parte de un dato dada ,ue generar/ un C8C ba%ado en e# dato ,ue e%te contiene" Parecido a chec6%um3 e%te C8C e% agregado a# dato + u%ado para #a -eri&icacin por comparacin cuando e# mi%mo po#inomio e% ap#icado ma% ade#ante" U!(0(!"r(,# +e Ver('()")(* +e I !egr(+"+ 4.i%ten mucho% uti#itario% para #a -eri&icacin de #a integridad de #o% archi-o% en un %i%tema3 dependiendo en #a nece%idad de %eguridad nece%itado por ta# %i%tema" 4#egir e# me7or uti#itario + u%ar#o con%i%tentemente har'a mucho para incrementar #a %eguridad de# %i%tema" A continuacin %e #e% mencionar/n a#guno% de #o% uti#itario% ma% conocido%" http //!!!"codigo#ibre"org $JA
Antonio Perpian
#u& 4# uti#itario %um de%p#egar/ un chec6%um de un archi-o en e%pec'&ico como tambi5n #a cuenta de #o% b#o,ue% de# archi-o%" La %inta.i% para e%te uti#itario e% %um nombregde#garchi-o" 1e puede inc#uir ma% de un archi-o en una %o#a %entencia" Un e7emp#o para e# nombre de archi-o /etc/pa%%!d3 e# comando %um #a %a#ida re%u#tante %era U" !, (,X0,)"0G,#! AVQ #u& /e!)//"##M+ J717E E Cuando %e e%ta traba7ando con un gran n2mero de archi-o%3 como %er/ e# ca%o cuando %e rea#i0a -eri&icacin de %eguridad en un %i%tema grande3 una buena pr/ctica e% ,ue peridicamente %e a#macene #a in&ormacin en un #og de# chec6%um rea#i0ado a archi-o% + directorio% importante%" 4n e# e-ento de ,ue un %i%tema e% comprometido3 e%o% #og% pueden %er comparado% para -eri&icar cuando + cua#e% archi-o% &ueron modi&icado%" Para rea#i0ar una operacin de %um de todo% #o% archi-o% en un directorio3 e# comando %um Y puede %er u%ado" Para direccionar #a %a#ida a un archi-o para u%ar#o #uego como re&erencia3 %e u%a #a %iguiente %inta.i% #u& ,&4reR+e0R"r)G(A,>#? Y "r)G(A,R0,g )D#u& 4# uti#itario c6%um &unciona ca%i id5nticamente a# uti#itario %um" La gran di&erencia e% ,ue c6%um de%p#iega un chec6%um C8C + e# tamao de# archi-o en b+te%" c6%um tambi5n imprime e# nombre de# archi-o3 aun,ue %o#o %e e%peci&i,ue un %o#o archi-o" La %inta.i% de u%ar c6%um e% id5ntica a #a de# uti#itario %um" A# igua# ,ue %um3 c6%um puede %er u%ado para rea#i0ar comparacione% de #og en archi-o% para determinar #a probabi#idad de perder #a integridad de #o% archi-o%" c6%um puede tambi5n %er u%ado para -eri&icar un archi-o en contra de #a in&ormacin de c6%um ,ue e% a#guna% -ece% inc#uida% con archi-o% ,ue pueden %er recibido% de%de o tran%&erido% a tra-5% de rede% in%egura%" &+J#u& 4# mdJ%um e% otro uti#itario e.tremadamente 2ti# ,ue gener/ un chec6%um de $;B>bit para un archi-o + de%p#iega e# chec6%um + e# nombre de archi-o" La %inta.i% para mdJ%um e% como %igue U" !, (,X0,)"0G,#! AVQ &+J#u& /e!)//"##M+ 4JJ)OEEL''+"7714"\eL1J77L4L)+@71 /e!)//"##M+ Adiciona#mente3 #a in&ormacin de mdJ%um puede %er aadida a un archi-o" La ma+or di&erencia entre mdJ%um + e# uti#itario mencionado anteriormente3 c6%um3 e% ,ue mdJ%um rea#i0ar/ una -eri&icacin comparati-a entre e# archi-o a#macenado en e# #og + e# archi-o e.i%tente" Para hacer e%to3 primero creamo% un archi-o #og3 de%de una copia de nue%tro /etc/pa%%!d ##amado u%uario%"t.t3 u%ando #a %iguiente %inta.i% U" !, (,X0,)"0G,#! AVQ &+J#u& u#u"r(,#I!%! Y u#u"r(,#R0,gI!%! Procedemo% a -eri&icar %i e# archi-o u%uario%"t.t a cambiado + para e%ta prueba no #o hemo% a#terado + e# re%u#tado %er/ U" !, (,X0,)"0G,#! AVQ &+J#u& $) u#u"r(,#R0,gI!%! u#u"r(,#I!%!: ON Para e%te e7emp#o ahora %upongamo% ,ue %i cambiamo% e# archi-o u%uario%"t.t + e# re%u#tado &ue e%te U" !, (,X0,)"0G,#! AVQ &+J#u& $) u#u"r(,#R0,gI!%! u#u"r(,#I!%!: 2AILED &+J#u&: WARNING: 1 ,' 1 ),&/u!e+ )Ge)D#u& +(+ NOT &"!)G Podemo% hacer #o mi%mo para todo% #o% archi-o% en un directorio + a#macenar e# re%u#tado en un #og + http //!!!"codigo#ibre"org $JB
Antonio Perpian
-eri&icar#o% en un &uturo para -er %i han ocurrido a#guno% cambio%" Para hacer e%to3 %e debe e7ecutar e# %iguiente comando &+J#u& b Y "r)G(A,R0,gI!%!" Una -e0 e# archi-o ha %ido creado3 mdJ%um #o -eri&icara con #o% archi-o% e.i%tente% en e# directorio %i e% in-ocado con e# argumento >c3 como e% mo%trado a continuacin &+J#u& $) "r)G(A,R0,gI!%! Una -e0 e%te comando e% e7ecutado3 mdJ%um de%p#egara %i e# chec6%um para cada archi-o ha cambiado" 1i ning2n archi-o ha cambiado3 e# te.to LO\M %era mo%trado a# #ado de# nombre de# archi-o" 1i e# chec6%um di&iere entre e# archi-o #og + e# 2#timo chec6%um computado3 e# te.to LFAIL4DM %era mo%trado a# #ado de# nombre de# archi-o" L,g)Ge)D 4# uti#itario #ogchec63 aun,ue no e% nada nue-o3 e% de #a d5cada de# OG a2n e% 2ti# para #a deteccin de potencia#e% agu7ero% de %eguridad3 e%caneando #o% archi-o% #og de #o% %er-icio% para determinar %i han ocurrido cierta% acti-idade% ,ue ameritan a#guna in-e%tigacin" Luego #ogchec6 #e en-'a a# admini%trador -'a emai# un reporte de dicha% accione%" 9aciendo u%o de# uti#itario #ogtai#3 #ogchec6 bu%ca en #o% archi-o% #og% de #o% %er-icio% por cadena% ,ue %e mere0can #a atencin de# admini%trador de %i%tema%" Por e7emp#o3 en e# e-ento de ,ue un u%uario intente ganar acce%o a# %uperu%uario u%ando #a manera de entrar contra%ea% in-a#ida% repetidamente3 una entrada a un archi-o #og %era e&ectuada ,ue re&#e7ar/ #o% intento% &a##ido% a# momento de ingre%ar como %uperu%uario" )a# entrada cau%ar/ ,ue #ogchec6 en-'e un emai# con un reporte de #o% intento% &a##ido% a# admini%trador de %i%tema%" 1i %e e7ecuta en bac6ground como un traba7o (7ob* de cron3 #ogchec6 %a#-ar/ a un admini%trador de %i%tema% de una potencia# tarea de manua#mente re-i%ar un #argo n2mero de archi-o% #og% para %o#ucionar e# prob#ema" In%ta#ar Logchec6 e% tan %imp#e en Fedora con un L+um in%ta## #ogchec6M + re,uiere a#guna% con&iguracione%" 4%to inc#u+e hacer -ario% cambio% a# archi-o #ogchec6"%h ta# como indicando e# emai# de# admini%trador de %i%tema% + e%peci&icando cua#e% archi-o% #og% deben de %er -eri&icado%" La parte ma% di&'ci# de #a con&iguracin e% e%peci&icar ,ue in&ormacin -eri&icar dentro de# archi-o #og" De%de ,ue #a% entrada% de di&erente% e-ento% a# archi-o #og -ar'an de una di%tribucin de GNU/Linu. a otra3 #ogchec6 puede no detectar un men%a7e de error a# meno% %i e% di%tintamente e%peci&icada por e# admini%trador de %i%tema" Por e7emp#o3 %i #ogchec6 bu%ca por #a cadena LOGIN FAILU843 e%te no a#ertara a# admini%trador de %i%tema% de un prob#ema %i en #a di%tribucin de GNU/Linu. %e reporta AU)94N)ICA)ION FAILU84 como intento de #ogin &a##ido en e# #og" Por e%ta ra0n3 e% nece%ario para #o% admini%tradore% de %i%tema% e.aminar #a prioridad de %u% archi-o% #og% para con&igurar #ogchec6 + determinar cua#e% entrada% e%peci&ica% %u di%tribucin en particu#ar reporta" Cuatro archi-o% %on u%ado% por #ogchec6 para determinar ,ue entrada de #og merece atencin admini%trati-a #ogchec6"hac6ing3 #ogchec6"-io#ation%3 #ogchec6"-io#ation%"ignore + #ogchec6"ignore" 4%o% archi-o% %on con%u#tado% en e# orden de #a #i%ta3 + cada uno de e##o% contiene criterio% de b2%,ueda% e%pec'&ico%" $" 4# archi-o 0,g)Ge)DIG")D( g contiene cadena% ,ue %ugerir/n intento% de ganar acce%o a# %i%tema" 4%o% agu7ero% %on #i%tado% en e# reporte de #ogchec6 deba7o de Acti-e 1+%tem Attac6 A#ert% (A#erta% de Ata,ue Acti-a% de# 1i%tema*" ;" 4# archi-o% 0,g)Ge)DIA(,0"!(, # contiene cadena% re%u#tante% de una acti-idad potencia#mente ma#icio%a en un %i%tema" 4%o% agu7ero% %er/n #i%tado% en e# reporte deba7o de 1ecurit+ =io#ation% (=io#acione% de 1eguridad*" ?" 4# archi-o 0,g)Ge)DIA(,0"!(, #I(g ,re &i#trara #a% operacione% de%eab#e% ,ue natura#mente retornaran http //!!!"codigo#ibre"org $JO
Antonio Perpian
cadena% ,ue &ueron +a deta##ada% en e# archi-o #ogchec6"-io#ation%" @" 4# cuarto archi-o3 0,g)Ge)DI(g ,re3 contiene toda% #a% entrada% de# #og ,ue %er/n ignorada%" Cua#,uier entrada en e# #og ,ue no en#ace en #ogchec6"hac6ing3 #ogchec6"-io#ation% + #ogchec6"ignore %er/n #i%tada% en e# reporte de #ogchec6 deba7o de Unu%ua# 1+%tem 4-ent% (4-ento% de# 1i%tema Inu%ua#e%*" AIDE 4# programa AID43 de #icencia GPL3 %urge como una iniciati-a de c#onar un %i%tema de deteccin de intru%o% mu+ &amo%o denominado )rip!ire3 e# cua# no e% %o&t!are #ibre" 4%te %i%tema %e ba%a en con%iderar #a integridad de #o% archi-o% como una de #a% a#arma% de ,ue ha e.i%tido una intru%in" )odo e# mundo %abe ,ue una de #a% accione% m/% comune% de un intru%o en un %i%tema e% garanti0ar e# acce%o a e%te %i%tema aun,ue e# &a##o por e# ,ue ha accedido a e# %ea corregido3 para e##o3 #o% in&ractore% introducen programa% ,ue %up#antan a #o% actua#e% + ,ue habitua#mente tienen un &in aadido (genera#mente #a obtencin de dato% de# %i%tema3 contra%ea3 imp#antan puerta% tra%era%3 etc5tera*" La apro.imacin ,ue tanto AID4 como )rip!ire adoptan e% #a de %a#-aguardar cierto% dato% de #o% %i%tema% de archi-o% de modo ,ue comparando #a %ituacin actua# de #o% mi%mo con #a obtenida anteriormente3 %e pueda %aber ,ue archi-o% han cambiado%" Ambo% programa% marcan cierto% directorio% como /u%r/bin como a,ue##o% cu+o% archi-o% no deben %er cambiado%" )ra% hacer e%to3 %e e.traen %uma% KDJ o de otro tipo + %e guardan &uera de# %i%tema" 1i e# admini%trador de# %i%tema3 por a#g2n moti-o cree ,ue ha podido %er ob7eto de una intru%in3 recupera #a% %uma% origina#e%3 e# programa rea#i0a #a% %uma% actua#e% + #a% compara3 %i en a#g2n archi-o #a% %uma% no coinciden %e da una a#arma +a ,ue puede %igni&icar ,ue a#guien a#ter e# archi-o con intencione% ad-er%a%" Con e%te tipo de %i%tema% no %o#o podemo% obtener #a a#arma de ,ue a#guno de nue%tro% archi-o% ha cambiado %ino ,ue tambi5n ai%#aremo% e# archi-o en cue%tin" 4% importante #a puntua#i0acin de guardar #a% %uma% en un %oporte &'%ico &uera de #a m/,uina +a ,ue %i #a% de7amo% en #a mi%ma + a#guien rea#i0a una intru%in3 podr'a modi&icar#a% para ,ue enca7a%en con %u programa con cdigo ma#icio%o" 4%te %i%tema% de deteccin de intru%o% no e% en tiempo rea# ( %e pa%a cuando %e tiene una %o%pecha de ,ue a#go anda ma# o cada cierto tiempo* + puede enca7ar en #o% %i%tema% ba%ado% en e# ob7eti-o de detectar anoma#'a%" SNORT 1NO8) e% un %i%tema de deteccin de intru%o% mu+ potente de tiempo rea# + ba%ado en #a red" 4%te %i%tema %igue e# p#anteamiento de co#ocar una m/,uina con un inter&a0 promi%cua ,ue monitorea e# tr/&ico ,ue circu#a por #a red3 de e%te modo 1NO8) bu%ca patrone% ,ue hagan pen%ar ,ue %e e%ta de%encadenando un ata,ue %obre #a red" A# igua# ,ue #ogchec6 + %iguiendo #a ar,uitectura genera#3 e# %i%tema incorpora un grupo de reg#a% para rea#i0ar che,ueo% determinado% %obre e# tr/&ico de red3 en e%te ca%o categori0ado% en di-er%o% + numero%o% grupo% como %mtp"ru#e%3 ddo%"ru#e%3 etc5tera" Otra de #a% grande% -irtude% de 1NO8) e% ,ue incorpora un %i%tema ba%tante %enci##o para e%cribir nue%tra% reg#a%3 de modo ,ue podemo% adaptar#o a nue%tro% re,uerimiento% ree%cribiendo #a% reg#a% para #o% incidente% ,ue de%eamo% monitorear" Un e7emp#o de una reg#a de 1NO8) e% #a %iguiente
"0er! !)/ QEXTERNALRNET " - $Y QHTTPRSERVERS O7 >&#g:TWEB$ATTACNS /# ),&&" +
$HG
Antonio Perpian
"!!e&/!T_ '0"g#:Aa_ ur(), !e !:T/4( //#T_ ,)"#e_ #(+:1E@O_ reA:1_ )0"##!-/e:Me4$"//0()"!(, $"!!")D_?
Con e%te #engua7e %e no% permite introducir no %o#o e# protoco#o o e# puerto a# ,ue -a de%tinado e# pa,ue> te3 tambi5n podemo% indicar e# contenido de e%te3 &#ag% determinado% de #o% protoco#o%3 etc5tera3 de modo ,ue hace e# programa e.tremadamente &#e.ib#e" Tr(/M(re A# #eer de )rip!ire debe mantener %iempre en mente ,ue e.i%ten -ario% producto% con e%te nombre3 uno %o#o e% GPL3 de e%e e% ,ue hab#aremo% a,u' otro% %on pri-ati-o%" 4# %o&t!are )rip!ire puede a+udar#e a a%egurar #a integridad de archi-o% + directorio% de %i%tema e%encia#e% identi&icando todo% #o% cambio% hecho% a e##o%" La% opcione% de con&iguracin de )rip!ire inc#u+en #a capacidad de recibir a#erta% por medio de correo e#ectrnico %i ha+ archi-o% e%pec'&ico% ,ue han %ido modi&icado% + e# contro# de integridad automati0ado a tra-5% de un traba7o cron" 4# u%o de )rip!ire para detectar intru%ione% + &i7ar dao% #e a+uda a mantener#o a# tanto de #o% cambio% de# %i%tema + puede agi#i0ar e# re%tab#ecimiento de una entrada &or0ada reduciendo e# n2mero de archi-o% ,ue ha+ ,ue re%tab#ecer para reparar e# %i%tema" )rip!ire compara #o% archi-o% + directorio% con una ba%e de dato% de #a ubicacin de #o% archi-o%3 #a% &echa% en ,ue han %ido modi&icado% + otro% dato%" )rip!ire genera #a ba%e de dato% tomando una #i%ta de archi-o% + directorio% e%pec'&ico% en e%tado conocido como %eguro" Para m/.ima %eguridad3 )rip!ire deber'a %er in%ta#ado + #a ba%e de dato% deber'a %er creada ante% ,ue e# %i%tema %ea e.pue%to a# rie%go de intru%in" De%pu5% de haber creado #a ba%e de dato%3 )rip!ire compara e# %i%tema actua# con #a ba%e de dato% + proporciona in&ormacin %obre cua#,uier modi&icacin3 aadidura3 o %upre%in" Prue4" +e Vu0 er"4(0(+"+ Un %i%tema GNU/Linu. ,ue e%te conectado a Internet3 o %o#o a una %imp#e red #oca#3 ine-itab#emente e%tar/ %u7eto a un ata,ue de a#guna c#a%e" La primera co%a a rea#i0ar cuando %e e%ta a%egurando un %i%tema e% probar %u% -u#nerabi#idade%" 4.i%te do% grande% /rea% de -u#nerabi#idad ,ue un %i%tema de computacin debe de re&or0ar un ata,ue de%de un %o&t!are ,ue &ue a#o7ado en e# computador o dao% &'%ico% ,ue -ienen dado% por parte% de# computador ,ue %on robada% o daada%" 1in importar %i e% un %o&t!are o un hard!are3 %iempre e.i%te #a po%ibi#idad de dao% en e# %i%tema" Lo% %iguiente% tema% %er/n cubierto% en e%ta %eccin =u#nerabi#idad de #o% 1o&t!are =u#nerabi#idad de# 9ard!are 1AIN) )iger
Vu0 er"4(0(+"+e# +e0 S,'!M"re Programa% ho%ti#e% %on programa% ,ue pueden hacer dao a %u %i%tema" 1o&t!are ma#icio%o u%ua#mente caen dentro de una de #a% %iguiente% categor'a% + di%cutiremo% cada una de e%ta% en e%ta %eccin De%bordamiento de# :u&&er )ro7an 9or%e ()ro+ano%* =iru% Gu%ano% :ac6door% http //!!!"codigo#ibre"org $H$
Antonio Perpian :omba% Lgica%
Programa% ho%ti#e% no %on mu+ comune% en GNU/Linu." 1o#o a#guno% han %ido -i%to% a#guna -e0" La ma+or ra0n e% ,ue no pueden hacer un gran dao a# meno% ,ue %ean e7ecutado% como root" La ma+or'a de #o% programa% + #a in&ormacin de con&iguracin en e# %i%tema pueden %er %o#o e%crito% por root" De ta# manera3 %i un -iru% o )ro+ano e% e7ecutado por un u%uario ,ue no e% root3 e%te probab#emente no har/ mucho dao" )ampoco tendr/n #a oportunidad de e%parcir%e" 1i e%te e% e7ecutado como root3 e%te podr/ hacer mucho ma% dao" 4%a e% una buena ra0n por #o cua# u%ted %o#o debe de u%ar #a cuenta de root cuando %ea comp#etamente nece%ario" Cuando %e e%ta e7ecutando como root3 u%ted tambi5n debe de tener cuidado a# momento de e7ecutar un programa de%de &uente% no con&iab#e%" De#4,r+"&(e !, +e0 Bu''er Lo% de%bordamiento de# bu&&er %on #a &uente de #a ma+or'a de #o% ata,ue% en #o% %i%tema% GNU/Linu." Por ,ue #o% de%bordamiento%E La -u#nerabi#idad -iene de%de cierto% errore% de programacin ,ue %on di&'ci#e% de e-itar para #o% programadore%3 a%' ,ue natura#mente mucho% programa% contienen e%te tipo de error" 1on cau%ado% cuando cierta% -ariab#e% reciben ma% dato% de #o ,ue #o% programadore% anticiparon" 1i %ucede de ,ue e%a -ariab#e e% #a re%pon%ab#e de a#macenar entrada ,ue a#guien puede modi&icar3 un atacante con habi#idade% puede introducir #a condicin de error3 cau%ando ,ue e# programa tenga prob#ema% o ,ue &uncione de una manera para #a cua# no &ue di%eado" Cuando un programa importante contiene uno de e%o% errore%3 e%te puede %er e-entua#mente encontrado por a#guien + u%ado como una ruta de ata,ue" Lo% atacante% bu%can cierto% tipo% de programa% cuando e%t/n bu%cando -'ctima% de de%bordamiento de bu&&er" Lo% &a-orito% %on a,ue##o% ,ue tienen pri-i#egio% 1etuid" Lo% programa% 1etuid tienen acce%o de ni-e# root pero %o#o u%an e# pri-i#egio para rea#i0ar a#guna pe,uea% tarea% + nada ma%I no ob%tante3 e# pri-i#egio de hacer cua#,uier co%a e%ta ah'" Cuando un atacante puede inducir un de%bordamiento de bu&&er dentro de un programa 1etuid3 e# programa puede co#gar%e de una manera en #a cua# de7a un %he## de root para e# atacante" Otra po%ibi#idad e% #a aceptacin de comportamiento% errado% de%de e# programa3 como %i e%te e% originado por root" Lo% prob#ema% de de%bordamiento% de bu&&er han %ido recientemente e.p#otado% en daemon% de red popu#are% ta#e% como ,popper3 named3 !u>&tpd3 como tambi5n en mucho% otro%" Un m5todo de a+udar a proteger en contra de #o% de%bordamiento de bu&&er + a%' ganar acce%o a# %he## de root3 e% creando una cuenta nobod+" A%ignar a nobod+ como e# propietario de #o% %er-icio% de# %i%tema" 1i %e de%borda e# bu&&er3 e# atacante ganara acce%o a# %i%tema como nobod+3 con #o% permi%o% de nobod+3 no como #o% de root" L,# Tr,-" ,# >Tr,5" H,r#e#? 1on nombrado% )ro7an 9or%e (Caba##o de )ro+a* por e# m5todo u%ado por #o% Griego% para %obrepa%ar #a %eguridad de #o% )ro+ano%" 4# programa parece ino&en%i-o + dice hacer a#go 2ti# o entretenido para e# u%uario" Cuando e# programa e%ta en e7ecucin3 e%te parece hacer cierta tarea para e# u%uario3 ta#e% como e7ecutar un 7uego o un proce%ador de te.to3 pero %u &uncin primaria (ocu#ta* e% rea#i0ar otra tarea po%ib#emente ma#icio%a3 #a cua# u%ua#mente puede hacer#e dao a# %i%tema" Un e7emp#o &/ci# de un )ro+ano e% e# reemp#a0o de# programa de #ogin" 4# programa )ro+ano aparece para rea#i0ar e# comando #ogin" 4n rea#idad3 e# programa )ro+ano captura #a contra%ea de# u%uario ,ue ha ingre%ado a# %i%tema3 #e en-'a #a contra%ea a otra cuenta3 regi%tra a# u%uario dentro de# %i%tema (o da un men%a7e de error + entrega a# rea# programa de #ogin*3 + %e e#imina (e# programa )ro+ano* de# %i%tema" 4%te e7emp#o %er/ in%ta#ado http //!!!"codigo#ibre"org $H;
Antonio Perpian
por e# intru%o3 + %u pre%encia no %er/ detectada por e# u%uario inmediatamente3 %ino cuando empiecen #o% prob#ema% + %e e&ectu5 una in-e%tigacin" Otro e7emp#o puede %er de%p#egar una animacin di-ertida u o&recer e7ecutar un 7uego" Kientra% e# u%uario e%ta %iendo entretenido3 e# programa comien0a a e#aborar %u% tarea de e.p#orar e# %i%tema3 en-iando #a in&ormacin a %u amo3 o puede e%tar %imp#emente -anda#i0ando e# %i%tema de# ho%t" 4%o% programa% %on mu+ comune%" Un e7emp#o rea# de un programa )ro+ano &ue una %upue%ta actua#i0acin de# %o&t!are uti#>#inu." 4%te %o&t!are contiene mucho% uti#itario% ,ue %on 2ti#e% para %i%tema% ,ue e7ecutan GNU/Linu." 4n 4nero $OOO3 una -er%in de e%te programa3 conten'a cdigo ,ue modi&icaba e# comando /bin/#ogin para en-iar un emai# a #a direccin de un u%uario en e%pec'&ico" 4%te emai# inc#uir'a e# nombre de# ho%t de# %i%tema como tambi5n una #i%ta de #o% u%uario% ,ue e%t/n dentro de# %i%tema" 4# cdigo %e e7ecutar'a cada -e0 ,ue un u%uario ingre%ara a# %i%tema3 tambi5n ,ue cua#,uiera con acce%o a# prompt en e# %i%tema en-iara un comando de e7ecucin daina para e# %i%tema" La me7or manera de a%egurar un %i%tema de un )ro+ano e% e%tudiar e# cdigo &uente de todo% #o% programa% ,ue %er/n in%ta#ado% en e# %i%tema" A%' %era po%ib#e pre-enir %orpre%a% cuando un programa e% e7ecutado" L,# V(ru# Lo% -iru% %on otra &orma de ata,ue" Un -iru% e% un cdigo ,ue entra a un %i%tema como parte de un programa" Una -e0 en e# %i%tema3 e%te %e e%conder/ en memoria + atacar/ cada programa ,ue %e e7ecuta o cua#,uier archi-o de programa ,ue encuentre en e# di%co" A#guno% -iru% %on natura#mente de#iberado% como de%tructi-o%3 de%tru+endo e# Ka%ter :oot 8ecord (K:8* en %u di%co duro3 e#iminando programa% o %imp#emente de7ando #o% programa% inoperab#e%" Otro% -iru% no cau%an mucho dao% pero %imp#emente %on una mo#e%tia3 ta# como a,ue##o% ,ue de%p#iegan men%a7e% o animacione% en %u monitor" Frecuentemente3 debido a #a pobre0a t5cnica de# cdigo3 e%ta c#a%e de -iru% pueden con%umir e.ce%i-o% recur%o% e inad-ertidamente cau%an ,ue e# %i%tema %e cue#gue o #a perdida de dato%3 a#guna% -ece% debido a un %imp#e p/nico de u%uario" L,# Gu#" ,# Lo% gu%ano% %on a2n otra &orma de ata,ue" Di&erente a #o% -iru%3 un gu%ano %e di%tribu+e entre una red + entra a un %i%tema computaciona# como un programa %tand>a#one3 no agregado a otra pie0a de cdigo" Una -e0 en e# %i%tema3 e%te har/ %u traba7o" Como #o% -iru%3 un gu%ano puede %er intenciona#mente de%tructi-o o puede %er benigno" A#guna% -ece% un gu%ano benigno3 como un -iru% benigno3 puede %a#ir%e de contro# + cau%ar dano% no intenciona#e% o e# agotamiento de #o% recur%o%3 potencia#mente de7ando un %i%tema in2ti#" 4# e7emp#o ma% cercano de# grado de dao ,ue puede cau%ar un gu%ano a una red comp#eta ocurri mientra% Internet e%taba a2n en %u in&ancia" 4n No-iembre de# $OBB3 8obert Korri%3 un e%tudiante de #a uni-er%idad Corne##3 #an0o un programa ,ue uti#i0aba e# programa %endmai# para rep#icar%e" 4# programa %e rep#ico r/pidamente a tra-5% de toda% #a% rede% di%ponib#e% en tiempo% m2#tip#e%3 %acando de 7uego mucho% %i%tema% computaciona#e%" 4%te programa e-entua#mente %e propago a tra-5% de todo% #o% computadore% ,ue e%tu-ieron conectado% a #a red en e%e momento3 inc#u+endo computadore% de# gobierno3 mi#itare% + %i%tema% acad5mico%" 4# co%to de #o% dao% de# programa gu%ano e%tu-o en e# rango de ciento de do#are% a mi#e% de do#are% por cada %i%tema ,ue &ue go#peado por e%te" Lo% gu%ano% %on di&'ci#e% de crear3 pero una -e0 e%crito%3 e%to% pueden &/ci#mente daar cua#,uier %i%tema computaciona#" La me7or manera de contro#ar un gu%ano ,ue ha entrado a un %i%tema e% de%conectar#o de #a red3 #o cua# permitir/ ,ue #o% dato% %e mantengan dentro de #a red #oca# + pre-endr/ a# gu%ano a ,ue ingre%e de nue-o a #a red" Una -e0 e# gu%ano ha %ido detectado + de%habi#itado3 #a re%tauracin de# %i%tema debe de iniciar" http //!!!"codigo#ibre"org $H?
Antonio Perpian
B")D+,,r# >Puer!" Tr"#er"#? Kucho% programadore% codi&icaran bac6door% dentro de programa% ha%ta para prop%ito de correccin de errore% o acce%ar a# programa %in tener ,ue pa%ar a tra-5% de #o% tedio%o% %cript% de autenticacin" Kientra% e%to e% un u%o #egitimo para e# u%o de bac6door%3 e%o% agu7ero% de %eguridad en un programa pueden %er u%ado% para prop%ito% ma#igno% %i %on encontrado% + a#guien con ma#a% intencione% toma -enta7a de e%to%" Lo% bac6door #e permiten acce%o a programa% con permi%o% de root3 permiti5ndo#e a# u%uario de# programa rea#i0ar tarea% como root" Por e7emp#o3 %i un bac6door modi&ica #o% permi%o% en #o% archi-o% /etc/pa%%!d + etc/%hado!3 #uego un intru%o puede acce%ar e%o% archi-o% para crac6ear #a% contra%ea% de# %i%tema + obtener e# acce%o a root" La me7or manera de proteger%e en contra de ta#e% -u#nerabi#idade% de e%o% programa% e% mantener una -eri&icacin en todo% #o% %i%tema% importante% + #o% archi-o% de %eguridad como tambi5n una -eri&icacin en todo% #o% %o&t!are nue-o% in%ta#ado% en e# %i%tema" Una buena po#'tica e% in%ta#ar todo% #o% %o&t!are nue-o% en un %i%tema de prueba ante% de in%ta#ar#o en e# %i%tema rea#" 4%to #e permitir/ a #o% admini%tradore% probar %i e.i%ten agu7ero% de %eguridad dentro de# nue-o programa" B,&4"# L*g()"# >L,g() B,&4#? Una bomba #gica e% un programa ,ue e7ecutara una tarea e%peci&ica cuando cierto% re,uerimiento% %on cump#ido%" 4%tro% re,uerimiento% pueden %er una &echa3 una hora o cuando un u%uario cierto u%uario ingre%a o %a#e de# %i%tema" 4n una &a%e3 e# programa daar/ e# %i%tema %i e# id de u%uario de un emp#eado e%tu-o &uera de #a nomina de pago por una e%pec'&ico periodo de tiempo" A%'3 %i un emp#eado &ue de%pedido de #a compa'a3 e# programa puede daar #o% %i%tema% de #a compa'a" Como cua#,uier tipo de %o&t!are ma#icio%o3 #a proteccin en contra de #a% bomba% #gica% e% a#can0ada in%ta#ando e# %o&t!are en un %i%tema de pr/ctica para permitir #a prueba de# programa + ana#i0ando %u cdigo &uente %i e%ta di%ponib#e" Vu0 er"4(0(+"+e# +e0 H"r+M"re Agreg/ndo%e a #a% -u#nerabi#idade% de# %o&t!are3 tambi5n e%ta #a amena0a de un dao &'%ico a# %i%tema" Cuando un u%uario tiene acce%o &'%ico a un %er-idor3 un %imp#e reinicio puede a#guna% -ece% comprometer #a %eguridad" Kantener #o% cuarto% de %er-idore% cerrado% + con %eguro3 proteger e# acce%o a puerto% de #a red + a%egurando todo% #o% componente% + e,uipo% cerrado% puede di%minuir #a oportunidad de robo o dano% a# hard!are" Lo% u%uario% #eg'timo% de un %i%tema pueden %er &uente% de ata,ue% a #a% debi#idade% de# %i%tema" Lo% u%uario no autori0ado% pueden ganar conocimiento% de donde %on guardada% #a% ##a-e% de #a% habitacione% a%egurada%3 donde #o% %i%tema% e%t/n meno% %eguro% ,ue otro% + como daar ordenare% %uti#e% en e# %itio donde operan" Una manera de e-itar ta#e% prob#ema% e% una re-i%in regu#ar de #o% archi-o% #og% de# %i%tema" Con #o% %i%tema% de precaucione% nece%ario%3 ta#e% como #a re-i%in de programa%3 #o% #og% de# %i%tema3 e# antecedente de #o% emp#eado% + #a %eguridad &'%ica de# #ugar de operacin3 #a% -u#nerabi#idade% de# %i%tema pueden %er &/ci#mente minimi0ado%" SAINT 1AIN) tambi5n conocido como 1ecurit+ Admini%tratorp% Integrated Net!or6 )oo# (9erramienta de 8ed Integrada a #a 1eguridad de# Admini%trador* e% #a con%ecuencia de# uti#itario anterior 1A)AN" 4% una de #a% http //!!!"codigo#ibre"org $H@
Antonio Perpian
me7ore% herramienta% de auditoria di%ponib#e% ho+" 1AIN) e% ca%i comp#etamente con&igurab#e e inc#u+e una inter&ace en 9)KL ,ue #a hace &/ci# de uti#i0ar" 4%ta puede tambi5n %er u%ada remotamente -'a un bu%cador <eb" Lo% archi-o% de In%ta#acin + #a% in%truccione% e%t/n di%ponib#e% en http //!!!"%aintcorporation"com/product%/%aintgengine"htm#" 1AIN) puede %er u%ado en #a #inea de comando o en &ormato 9)KL dependiendo en cua# opcin e% e#egida" La ma+or'a de #a% opcione% de #inea de comando %on u%ada% para %obre%cribir #a% -ariab#e% de con&iguracin en e# archi-o con&ig/%aint"c&" Una #i%ta comp#eta de #o% cambio% e%t/n di%ponib#e% en #a% pagina% man de 1AIN)" Una -e0 #o% u%uario% han con&igurado correctamente 1AIN)3 e##o% deben %imp#emente entrar #a %e#eccin e#egida + e%peci&icar un IP o nombre de ho%t para ,ue %ea e%caneado" Lo% re%u#tado% de# e%c/ner pueden %er encontrado% en #a 1eccin de An/#i%i% de Dato%" 4n modo no Interacti-o #o% re%u#tado% %on de%p#egado% en #a %a#ida e%t/ndar (%tdout*" T(ger )iger e% otro popu#ar uti#itario de auditoria de de %eguridad di%ponib#e para de%carga" 4%te uti#itario en particu#ar e% actua#mente un con7unto de %cript% de %he## ,ue prueban cierto% archi-o% de con&iguracin + de# %i%tema para -eri&icar por prob#ema% de %eguridad" La in%ta#acin de )iger en GNU/Linu. e% %imp#e de%de Fedora con dUK + de%de Debian con AP)>G4)" )iger uti#i0a un con7unto de %cript% ,ue pueden %er e7ecutado% indi-idua#mente acce%ando e# directorio /%cript% + e7ecutando e# %cript de%eado" Otra caracter'%tica intere%ante de )iger e% ,ue e%te no nece%ita %er in%ta#ado para %er u%ado" La in%ta#acin de )iger incrementa %u &unciona#idad3 aun,ue no e% nece%ario" )iger tambi5n inc#u+e un uti#itario %eparado ##amado tigercron ,ue automati0a e# u%o de )iger + #e permite a #o% u%uario% e%peci&icar cua#e% %cript% %er/n e7ecutado% en &recuencia% -ariab#e%" 4# %cript ,ue puede tomar hora% para e7ecutar%e debe %er &i7ado %o#o para %er e7ecutado poca% -ece% por me%" Lo% %cript ma% r/pido% pueden %er &i7ado% para %er e7ecutado% mucha% -ece% a# d'a" )iger e% toda-'a un uti#itario de #inea de comando%3 aun,ue e# %oporte b/%ico para #a %a#ida e% por 9)KL ha %ido inc#uido" 1i #a %a#ida 9)KL no e% u%ada3 tiger de%p#egara #o ,ue encuentra a un archi-o en e# directorio de tiger ##amado %ecurit+"report"enombregde#gho%tf"e&echaf"ehoraf" enombregde#gho%tf3 e&echaf + ehoraf %on -ariab#e% dependiendo donde + cuando e# e.amen e% e7ecutado" Otro uti#itario uti#i0ado ,ue -iene inc#uido con )iger e% tige.p3 e# cua# de%p#iega una e.p#icacin de #o% men%a7e% de precaucin" 4%te e% uti#i0ado% de #a %iguiente manera Q !(ge%/ &e##"ge(+ Lo% cdigo% Lme%%age IDM %on #i%tado% dentro de corchete% a# inicio de #o% men%a7e% de precaucin" 4# uti#itario tiger e% con&igurado a#terando e# archi-o tigerrc" 4%te archi-o e% #oca#i0ado en e# directorio principa# de tiger" Por de&ecto3 tiger e% con&igurado para &uncionar %o#o en #a% prueba% ma% importante% de# %i%temaI por #o tanto3 #o% u%uario% deben de e.aminar e%te archi-o para a%egurar%e ,ue toda% #a% prueba% nece%aria% e%t/n %iendo rea#i0ada%" 4# archi-o de con&iguracin tigerrc e% &/ci# de #eer + editar" 1imp#emente abriendo tigerrc en un editor de te.to para con&igurar tiger" Ubi,ue una d en e# %cript ,ue e# u%uario de%ea e7ecutar + una N en e# %cript ,ue no %era u%ado" Una #inea en e# archi-o tigerrc debe %er %imi#ar a e%to T(gerRCGe)DRPASSD]Y La d indica ,ue e%te %cript %era e7ecutado cuando e# uti#itario tiger e% inicia#i0ado" )igerrc tambi5n inc#u+e http //!!!"codigo#ibre"org $HJ
Antonio Perpian otro% 'teme% de con&iguracin con una e.p#icacin e%crita de cada uno"
Como +a &ue e%tab#ecido anteriormente3 tiger e% un uti#itario de #inea de comando ,ue uti#i0a #o% %!itche% de #a #inea de comando para e%peci&icar cierto% deta##e% %obre tiger" A#guna% opcione% comune% inc#u+en
$4 $) $e $E 4%ta opcin e%peci&ica en cua#e% directorio% )iger %era in%ta#ado" Para e%peci&icar un archi-o de con&iguracin ,ue no %ea tigerrc3 uti#ice e%ta opcin" 4%ta opcin act2a %imi#ar a# uti#itario tige.p" Cuando tiger e% e7ecutado con e%ta opcin3 #a% e.p#icacione% %er/n de%p#egada% en e# reporte de %eguridad" 4%ta opcin e% %imi#ar a# uti#itario tige.p e.cepto ,ue genera un archi-o de e.p#icacin por %eparado"
E5er)()(, J$@: E#)" e"r #(#!e&"# u!(0(6" +, GNU/L( u% 2e+,r" 4n e%te e7ercicio3 u%ted uti#i0ara Linu. 8ed9at para e%canear puerto% de #o% %i%tema%" No ha+ %o#ucione% pro-i%ta% para e%te e7ercicio" 4# comando nmap e%canea %u %i%tema por todo% #o% puerto% abierto% en e# rango de ;G a BG" U%ted puede nece%itar pre%ionar 4N)48 a#guna% -ece% para e%capar a#guna% de #a% panta##a%" U%ted puede u%ar e# mi%mo comando con otra direccin IP para e%canear otro% %i%tema%" D(#!r(4u)(, e# +e GNU/L( u% De+()"+"# " Segur(+"+ Un admini%trador de %i%tema puede con%umir tiempo con&igurando #a% opcione% de %eguridad e in%ta#ando #o% uti#itario% de %eguridad en ca%i cua#,uier di%tribucin de GNU/Linu." 1in embargo3 e.i%ten di%tribucione% de GNU/Linu. ,ue natura#mente con&igurada% para un optimo %i%tema de %eguridad" Adema%3 ha+ programa% %imp#e% ,ue pueden contro#ar m2#tip#e% &uncione% de %eguridad3 permitiendo a #o% admini%tradore% de %i%tema% admini%trar #o% %i%tema% de %eguridad e&iciente + e&ecti-amente" 4.i%ten tanta% ,ue no %e por donde empe0ar a%' ,ue #o bu%,ue en Internet + ##egue a e%ta% $G di%tro% ,ue %on #a% ma% mencionada%3 no ,ue #a% prob5 toda%3 e% ca%i impo%ib#e" 4%ta% di%tribucione% de GNU/Linu. e%t/n precon&igurada% con herramienta% de %eguridad para %imp#i&icar e# monitoreo de# %i%tema" A di&erencia de otra% di%tribucione%3 #a% cua#e% %on &#o7a% en %eguridad3 e%ta% di%tribucione% contienen riguro%a% con&iguracione% de %eguridad por de&ecto" 4%ta e% #a #i%ta no e% ,ue %ea comp#eta pero por a#g2n %itio %e empie0a :ac6)rac6" Di%tribucin ba%tante modu#ari0ada ba%ada en 1LAX3 + por mucho #a ma% mencionada" Operator" Di%tribucin centrada en #a %eguridad en red" 4%t/ ba%ada en Debian" Ph#ac6" Contiene mucha% ap#icacione% dirigida% a #a %eguridad3 mucha documentacin" Auditor" Comp#eta di%tribucin ba%ada en \noppi.3 pero m/% dirigida a #a %eguridad" LA1 Linu." Di%tribucin ba%ada en \noppi." \noppi.>1)D" Comp#et'%ima3 de #a% primera%3 creo ,ue &ue #a ,ue in-ento e# negocio de %eguridad" 9e#i." Otra ba%ada en \noppi. buena para recuperacin ma% ,ue %eguridad" Fire" Otra di%tribucin L&oren%eM para #a recuperacin de dato%3 e%caneado de -iru% + -u#nerabi#idade%" nUbuntu" =er%in de Ubuntu centrada en #a %eguridad" In%ert" :uena bien pe,uea %o#o HG meg" :Cu"0 U#"r1 )odo% #o% programa% +/o di%tribucione% mencionado% anteriormente o&recen di&erente% -enta7a%" )oda% #e %on 2ti# %i un admini%trador e%ta e7ecutando GNU/Linu. + de%ea &orta#ecer una red" )oda% %on di%tribucione% podero%a3 de &/ci# con&iguracin para cua#,uier red ,ue uti#ice GNU/Linu." 4##a% o&recen #a -er%ati#idad de una di%tribucin de GNU/Linu. con caracter'%tica% de %eguridad integrado%" A#guna% %on ma% portab#e% ,ue otra% http //!!!"codigo#ibre"org $HH
Antonio Perpian
por e# tamao %iendo In%ert %o#o HG mega%" )oda% e##a% en e%pecia# para rede% de UNIX/Linu. + otra% rede%3 pro-een una manera r/pida + &/ci# de con&igurar + probar #a %eguridad de #a% rede%" Re#u&e 4n e%te capitu#o3 cubrimo% di&erente% %er-icio% de red" A#guna% de #o% tema% c#a-e% ,ue %e mencionaron &ueron 4# monitoreo% de #o% a-i%o% de %eguridad %on un ro# importante de un pro&e%iona# en %eguridad" Lo% permi%o% de #o% archi-o% e%t/n di%ponib#e% para imp#ementar contro# de acce%o en GNU/Linu." De%habi#itar te#net e imp#ementar 1ecure 1he## para e# acce%o remoto" =eri&icar #o% %i%tema% por potencia#e% prob#ema% de %eguridad con una e%canear de -u#nerabi#idade%" Kantener actua#i0ado e# 6erne# + #o% pa,uete% de %o&t!are e% un componente -ita# + e&ecti-o de mantener #a% rede% %egura%" Con%iderar u%ar un %i%tema de auditoria de %eguridad e.i%tente3 inc#u+endo :a%ti##e3 )ru%ti. o )rinu.3 cuando %e imp#ementa un nue-o %i%tema ,ue re,uiera un a#to ni-e# de %eguridad" Como un admini%trador3 u%ted debe de e.aminar #o% archi-o% de %eguridad en %u %i%tema + mantener un r5cord diario de e##o% (#o% archi-o% 1etuid + 1etgid*" Lo% -eri&icadore% de integridad %on importante%I a%eg2re%e ,ue un intru%o3 no ha modi&icado e# %i%tema de archi-o%3 particu#armente #o% archi-o% binario%"
$HA
Antonio Perpian
ASEGURAR LOS SERVICIOS

TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin Proteger #o% 1er-icio% )CP/IP Comunicacione% 1egura% <rapper% )CP F)P Annimo 1eguro 1erguridad de Archi-o% Compartido% 8e%umen Pregunta% Po%t>4.amen No. ;JA ;JA ;HJ ;HA ;AG ;AJ ;BG ;BJ ;BB ;BB
CAPITULO
OBJETIVOS:
Al completar este captulo, usted podr U A%egurar #o% %er-icio% )CP/IP3 inc#u+endo 9))P + F)P" U De&inir #a &uncin de #o% )CP !rapper% + %u% u%o en e# de%arro##o de un red %egura" U De%cribir e# ro# de# .inetd3 .inetd"con& + /etc/%er-ice% + %er capa0 de imp#ementar + corregir &a##a% de #a% medida% de %eguridad de #o% )CP !rapper%" U De&inir #a% debi#idade% comune% de %endmai#I de%cribir #a% de%-enta7a% de u%ar %map + %mapd a%' como #a% medida% ,ue pueden %er tomada% para %obrepa%ar e%to% rie%go%" U Li%tar #o% componente% c#a-e en #a %eguridad de un <eb%er-erI de%cribir #a con&iguracin de #o% permi%o% para e# Apache3 #a imp#ementacin de autenti&icacin KDJ + #o% ambiente% chroot <eb" U Li%tar #a in%ta#acin de un %er-idor F)P annimo3 de%cribir e# u%o de #o% permi%o% en #o% directorio% + e.p#icar por,u5 debe %er cuidado%o a# editar un archi-o de con&iguracin" U De%cribir #a% -u#nerabi#idade% de# NF1 a# a%egurar un red3 a%egurar #o% e.port% + e# %,ua%hing (no permi%o* de root" U Li%tar e# potencia# de rie%go en #o% programa% NI1 + NI1a" U De%cribir 1,uid + u%o + con&iguracinI de&inir e# rie%go potencia# inherente en e%te programa" U De%cribir #a con&iguracin %egura de Ko0i##a + IKAP" U 4%tab#ecer #a %eguridad de# ho%t" U 4%tar &ami#iari0ado + capa0 de imp#ementar #a% re%triccione% de acce%o a #o% %iguiente% %er-icio% &tp3 te#net3 Apache3 NF13 1amba3 1endmai#3 DN1 + NI1"
Pregu !"# Pre$E%"&e 8e%pue%ta% a e%ta% pregunta% %e encuentran en e# Ap5ndice A" $"> CCmo &uncionan #o% e%caneadore% de puerto%E DEL SISTEMA OPERATIVO GNU/LINUX ;"> CDu5 %e ,uiere decir con pro&i#ing (per&i#ando*E ?"> CPor ,u5 %e ha con-ertido #a %eguridad de #a red en un tema centra# de #o% negocio%E @"> CDu5 e&ecto tiene #a %eguridad de #a red %obre #a #atencia de e##aE
SEGURIDAD
$HB
Antonio Perpian
INTRODUCCION 4# )PC/IP %e cre en una 5poca + en una %ituacin donde #a %eguridad no era a#go ,ue concerniera dema%iado" Inicia#mente3 LInternetM (entonce% ##amada A8PAN4)*3 con%i%t'a en uno% poco% ho%t%3 todo eran %itio% acad5mico%3 grande% empre%a% o gobierno%" )odo e# mundo %e conoc'a3 + acceder a Internet era un a%unto %erio" La %uite de protoco#o% )CP/IP e% ba%tante robu%ta3 pero de%a&ortunadamente no e%t/ pro-i%ta de m5todo% ni herramienta% de %eguridad propia (por e7"3 autenti&icacin3 -eri&icacin3 ci&rado3 etc"*" 9acer %poo&ing de pa,uete%3 interceptar pa,uete%3 #eer #a carga de #o% dato%3 + dem/%3 e% a#go ba%tante &/ci# ha%ta en e# Internet de# d'a de ho+" Lo% ata,ue% m/% comune% %on #o% ata,ue% de negacin de %er-icio3 denominado% Do13 +a ,ue %on #o% m/% &/ci#e% de e7ecutar + #o% m/% di&'ci#e% de impedir3 %eguido% por e# %ni&&ing (hu%meado* de pa,uete%3 e%caneado de puerto% + otra% acti-idade% re#acionada%" 4n e%te cap'tu#o di%cutiremo% como en&rentar #a% -u#nerabi#idade% e imp#ementar contro#e% para a%' proteger #o% %er-icio% )CP/IP ,ue %on b#anco% de ata,ue%3 entre #o% cua#e% %e inc#u+en #o% 1er-idore% 9))P3 F)P + e# 1K)P" PROTEGIENDO LOS SERVICIOS TCP/IP 4n e%te cap'tu#o entraremo% de ##eno en #o ,ue e% #a di%cu%in de como e&ecti-amente a%egurar %er-icio% de Internet c#a-e" La ma+or'a de #a% imp#ementacione% de #o% %er-icio% de Internet acceden a# %i%tema operati-o a tra-5% de una cuenta e%pecia#i0ada de u%uario" GNU/Linu. tiene cuenta% e%pec'&ica% de# %i%tema ,ue %on uti#i0ada% para e# mane7o de cada daemon" U%ted debe hacer pr/ctica com2n3 e# cambio de# nombre de e%ta cuenta3 o %ea nunca e7ecutar un %er-icio con #a cuenta de root3 para a%' a%egurar me7or %u %i%tema" 4%ta% cuenta% no %on cuenta% norma#e% de u%uario% +a ,ue u%ted no puede ingre%ar a# %i%tema con e##a%3 pero %i %e e7ecutan con pri-i#egio% admini%trati-o%" Un crac6er puede u%ar e# %er-icio de Internet para ##e-ar a cabo accione% ma#icio%a% con e%to% derecho% admini%trati-o%" 4# cambio de e%ta% cuenta% #e permite a# admini%trador me7or contro# de #a auditoria de cada %er-icio de Internet" Lo% %er-icio% de Internet m/% u%ado% %on 1K)P (emai#*3 9))P (<eb* + e# F)P()ran%&erencia de Archi-o%*" 4n e%ta %eccin cubriremo% #o% %iguiente% tema% Identi&icacin de #o% 1er-icio% Nece%ario% De%habi#itar #o% 1er-icio% Innece%ario% Imp#ementar Kedida% de Contro# de Acce%o Proteger #o% 1er-icio% Konitorear #o% 1er-icio% I+e !('()")(* +e 0,# SerA()(,# Ne)e#"r(,#
P"#, De#)r(/)(* Categori0ar 8ecur%o% + Nece%idade% Ni-e#e% I3 II3 III &ueron +a di%cutido%" Adem/% debe con%iderar ,ue #a admini%tracin de rede% %iempre inc#u+e deta##e%3 documentacin de cada %i%tema3 inc#u+endo tipo de hard!are3 con&iguracione% actua#e% + #o% protoco#o% en u%o" La% prioridade% tambi5n %on parte de #a categori0acin" De&inir una Po#'tica de 1eguridad U%ted debe %iempre de&inir + pub#icar %u po#'tica de %eguridad" La po#'tica de una organi0acin no tienen ning2n %entido %i %#o u%ted %e #a %abe" )odo e# per%ona# in-o#ucrado debe %aber donde encontrar e%ta% po#'tica% + como e# #a% ap#ica% para %u% #abore%"
$HO
Antonio Perpian
A%egurar cada 8ecur%o + 1er-icio

4%te pa%o in-o#ucra toda% o a#guna% de #a% %iguiente% accione% U Cambiar #o% por de&ecto de #o% %er-idore% + #o% %er-icio% U 4%tab#ecer #og% en todo% #o% %i%tema% + re-i%ar#o% regu#armente U Con&igurar %u% archi-o% #og% para ,ue no %e con-iertan en amena0a% de %eguridad Debe #eer #o% #og% diario + poner medida% de# pa%o J a prueba + e-a#uar #o% +a pue%to a prueba" Nunca a%umir ,ue e%tamo% %eguro por,ue cump#e con #o% primero% cuatro% pa%o% de e%ta #i%ta" Debe entender ,ue ha%ta %u po#'tica debe %er actua#i0ada + me7orada regu#armente"
Leer #o% Log%3 Probar + 4-a#uar 8epetir e# Proce%o + Actua#i0ar%e
4%to% cinco pa%o% pueden a+udar#e a ap#icar %u po#'tica de %eguridad #o m/% con%i%tente po%ib#e" Lo% primero% do% pa%o% +a %e cubrieron en #o% cap'tu#o% anteriore%" 4n e%te cap'tu#o no% concentraremo% en #o% 2#timo% tre% pa%o%" K/% e%pec'&ico3 traba7aremo% para a%egurar a#guno% de #o% recur%o% )CP/IP di%cutido% en #o% cap'tu#o% anteriore%" De#G"4(0(!"r 0,# SerA()(,# I e)e#"r(,# 4n GNU/Linu. a#guno% de #o% %er-icio% pueden e7ecutar%e tanto como %tand>a#one daemon o de%de e# metademonio .inetd3 protegido% por )CP !rapper% (en-o#tura%*" Un buen e7emp#o de un %er-idor ,ue mu+ a menudo e% e7ecutado como un daemon e% %endmai#3 por #o genera# #igado a# puerto )CP/IP ;J para #a% acti-idade% 1K)P" Pero e# %er-icio de F)P a menudo e% e7ecutado por .inetd + a%' e# %er-idor %#o %e e7ecuta cuando un proce%o hace una peticin" De toda% &orma% %i un proce%o no e% nece%ario3 debe e%tar de%habi#itado" Lo% %er-icio% ,ue no %on nece%ario% pueden %er detenido% %e#eccionando #a% medida% apropiada de%de e# %iguiente procedimiento" $" Comentar e# %er-icio no de%eado en e# archi-o /etc/%er-ice%3 #o cua# adem/% pre-iene de ,ue e# c#iente #oca# acceda e# %er-icio" ;" =eri&icar ,ue e# %er-icio no e%t/ habi#itado u%ando #a ap#icacin 1+%=" Podemo% probar ,ue Apache e%t/ detenido con %u comando de mane7o + #a opcin de e%tado (%tatu%*3 + tambi5n detener#o con #a opcin %top W /etc/rc"d/init"d/httpd %tatu% (%er-ice httpd %tatu% + /etc/init"d/httpd %tatu%* httpd i% %topped (e% #a re%pue%ta de%eada* ?" :u%,ue e# archi-o de arran,ue de# %er-icio no de%eado en uno de #o% directorio% /etc/rc"d/init"d o en /etc/init"d + e#im'ne#o3 o me7or a2n renmbre#o" Por tradicin #o ,ue %e hace mu+ a menudo e% cambiar #a 1 ma+2%cu#a por un % min2%cu#a" @" =eri&i,ue ,ue e%te proce%o no %e iniciar/ en e# run#e-e# por de&ecto (o en cua#,uiera de #o% otro% run#e-e#%* e#iminando e# -'ncu#o %imb#ico ,ue empie0a con 1 ,ue iniciar/ e# %er-icio a# entrar en un run#e-e#" 8e-i%e %u run#e-e# por de&ecto en /etc/inittab para a%egurar%e de ,ue #o% %er-icio% ,ue u%ted de%habi#it en %u run#e-e# actua# no %e iniciar/n cuando u%ted reinicie3 %i e% ,ue u%ted no e%t/ en e# run#e-e# por de&ecto" A%eg2re%e de re-i%ar cada run#e-e#3 /etc/rc"d/eG>Hf" J" U%ted tiene di%ponib#e herramienta% en #a% di&erente% di%tro% como %er-ice%3 ch6con&ig3 nt%+%-3 +a%t o turbo%er-ice% para habi#itar + de%habi#itar #o% %er-icio% en #o% run#e-e#%" H" De%habi#ite un %er-icio en .inetd + -eri&i,ue ,ue .inetd e%t/ o no inici/ndo#o como %e e%pera" 1i .inetd e%t/ e7ecut/ndo%e3 reinicie#o para &or0ar ,ue recargue %u con&iguracin + ,ue %e detenga de pro-eer #o% %er-icio% ,ue u%ted coment" A" =eri&i,ue ,ue e# proce%o ,ue u%ted con&igur para ,ue no arran,ue no e%te e7ecut/ndo%e primero determinando %u ID de proce%o con e# comando p%3 entonce% e&ectuar e# comando 6i## para e%e proce%o %i %e e%t/ e7ecutando" http //!!!"codigo#ibre"org $AG
Antonio Perpian
W p% a. o grep portmap La %ugerencia de ,ue #o apague en-i/ndo#e una %ea# con 6i## puede ,ue #e pare0ca innece%ario pero recuerde ,ue en GNU/Linu. #o% uptime% (tiempo %in reiniciar e# %er-idor* m/% de $GG d'a% %on mu+ comune% + tener ,ue e%perar ha%ta un reinicio puede de7ar %u %i%tema -u#nerab#e por todo e%e tiempo" B" 1i %e programa un reinicio3 -eri&i,ue ,ue #o% cambio% ,ue e&ectu e%t5n &uncionando apropiadamente + ,ue #o% %er-icio% no nece%ario% +a no %e e%t5n e7ecutando" Me+(+"# +e C, !r,0 +e A))e#, La preocupacin principa# en a%egurar un %i%tema e# d'a de ho+ %on #a% rede%" La% rede% permiten ,ue %e acce%en in&ormacin en otro% %i%tema% + ,ue otro% %i%tema% acce%en #a nue%tra" Pero uno deben contro#ar con mucho cuidado e%te acce%o" Debemo% a%egurarno% de ,ue no e.i%tan agu7ero% en nue%tro% %i%tema% ,ue no% hagan -u#nerab#e%" La me7or manera + #a m/% econmica e% e7ecutar %#o #o% %er-icio% ,ue %on ab%o#utamente nece%ario%" Aun,ue #a% ma+or'a de %er-idore% F)P permiten e# acce%o %o#o permiten a #o% archi-o% deba7o de# directorio root de# F)P3 a%eg2re%e ,ue %u F)P no permita acce%o% a archi-o %en%ib#e%" 1i u%ted no e% cuidado%o3 #o% u%uario% pueden ad,uirir acce%o a %u directorio% !eb + %obre%cribir e%to% archi-o%" Pr,!eger 0,# SerA()(,# U%ted puede proteger #o% %er-icio% con #a coordinacin de -ario% permi%o%3 %er-icio% + t5cnica%" U%ted debe cambiar #o% por de&ecto% de %u %i%tema% + e#iminar %er-icio% innece%ario%" Pr,!e5" #u Per'(0 La ad,ui%icin de %u per&i# #e da a# crac6er #a po%ibi#idad para determinar #a natura#e0a de un ho%t de una red" )ambi5n #e proporciona #a po%ibi#idad para determinar #a natura#e0a de# tr/&ico ,ue -ia7a de%de + hacia e# ho%t" Lo% %ni&&er% de pa,uete% pueden %er u%ado% para per&i#ar un ho%t" 1i con&iguramo% una NIC(Net!or6 Inter&ace Card* en modo promi%cuo3 un crac6er puede entonce% empe0ar a traba7ar para comprometer #a %eguridad de #a red" 4.i%ten -ario% m5todo% di%ponib#e% para contrarre%tar e%te tipo de acti-idad" C,,r+( "r 0,# M;!,+,# - 0"# T;) ()"# Uno de #o% concepto% m/% importante% en a%egurar #o% recur%o% e% #a habi#idad de coordinar #o% m5todo% + t5cnica% para %i un crac6er bur#a un m5todo3 %u %i%tema pueda contraatacar con otro" A medida ,ue u%ted coordina #o% %er-icio%3 en&rente cada uno por %eparado3 con%idere http3 te#net + %er-idore% &tp" Cada uno de e%to% %i%tema% tienen -u#nerabi#idade% e%peci&ica% ,ue deben %er en&rentada% de manera indi-idua#" De&ina #a% po#'tica% de operacin en con7unto con #a% po#'tica% de %eguridad de %er-icio%" 1u %i%tema no debe depender %o#amente de un e#emento de %eguridad como puede %er autenticacin3 encriptacin o auditoria" Por e7emp#o %i u%ted depende de autenticacin3 u%ted debe agregar una capa adiciona# de encriptacin o auditoria" C"&4(e 0,# V"0,re# /,r De'e)!, /"r" Pr,!eger 0,# SerA()(,# Cua#,uier crac6er poco e.perimentado %abe #o% -a#ore% por de&ecto% de un %er-icio en particu#ar3 %er-idor u computador" A%' ,ue3 u%ted debe cambiar cuanto% -a#ore% por de&ecto% #e %ean po%ib#e" 4%tudiaremo% m/% %obre e%te a%pecto de #o% cambio de #o% -a#ore% por de&ecto m/% ade#ante" M, (!,re"r 0,# SerA()(,# 4% importante para un admini%trador de %i%tema %aber ,ue %er-icio% %e e%t/n e7ecutando3 ,uien #o e%ta e7ecutando + ,ue in&ormacin e%ta %iendo mane7ada por e##o%" Uti#itario% como net%tat + nmap a+udan a# u%uario a entender #a pre%encia + origen de un %er-icio en u%o" http //!!!"codigo#ibre"org $A$
Antonio Perpian
Ne!#!"! 4# prop%ito de net%tat e% pro-eer un reporte de toda% #a% cone.ione%3 cua#e% inter&ace% e%t/n %iendo u%ada% + #a% tab#a% de enrutamiento" Aun,ue net%tat contiene mucha% opcione% %o#o di%cutiremo% una% cuanta% de e##a% en e%ta %eccin" Para -er un #i%tado comp#eto de #a% opcione% + %u% de%cripcione%3 por &a-or re&i5ra%e a #a% pagina% man de comando net%tat de #a %eccin B o a un 9o!>)o de #o% ,ue aparecen en Internet" C, #u0!" +e 0" T"40" +e E ru!"&(e !, 1i e7ecuta net%tat u%ando e# indicador >r3 puede -er #a in&ormacin de #a tab#a de encaminamiento de# 6erne# igua# ,ue hemo% -enido haciendo ha%ta ahora con route" A# e7ecutar#o tendr'amo%
Z e!#!"! $ r \erne# IP routing tab#e De%tination Gate!a+ $;A"G"G"$ Y $A;"$H"$"G Y $A;"$H";"G $A;"$H"$"$ Genma%6 ;JJ";JJ";JJ";JJ ;JJ";JJ";JJ"G ;JJ";JJ";JJ"G F#ag% U9 U UG K11 G G G <indo! irtt I&ace G G #o G G ethG G G ethG
La opcin >n hace ,ue net%tat imprima #a% direccione% IP en notacin de cuaterna en -e0 de u%ar #o% nombre% %imb#ico% de #a% m/,uina% o #a% rede%" 4%to e% e%pecia#mente 2ti# %i pretende e-itar con%u#ta% para e%o% nombre% a tra-5% de #a red (por e7emp#o con%u#ta% a un %er-idor DN1 o NI1*" La %egunda co#umna de #a %a#ida producida por net%tat in&orma %obre #a% pa%are#a% a #a% ,ue apunta #a in&ormacin de encaminamiento" 1i una ruta no u%a pa%are#a3 e# programa imprime un a%teri%co" La tercera co#umna imprime e# ni-e# de Lgenera#i0acinM de una ruta" Dada una direccin IP para #a ,ue encontrar una ruta apropiada3 e# n2c#eo recorre #a tab#a regi%tro a regi%tro haciendo un LANDM #gico de #a direccin + #a m/%cara de ni-e# de genera#i0acin ante% de comparar#a con e# de%tino ,ue mue%tra dicho regi%tro" La cuarta co#umna mue%tra -ario% indicadore% ,ue de%criben #a ruta
G U 9 D K j La ruta uti#i0a una pa%are#a" La inter&a0 e%t/ acti-a" 4%ta inter&a0 permite e# acce%o a una %o#a m/,uina" 4%te e% e# ca%o de #a inter&a0 de buc#e #oca# $;A"G"G"$" 4%ta ruta e% creada din/micamente" Aparece %i #a entrada de #a tab#a ha %ido generada por un demonio de encaminamiento como gated o por un men%a7e de redireccin ICKP " Pre%ente cuando e%te regi%tro ha %ido modi&icado por un men%a7e de redireccin ICKP" La ruta e% una ruta de recha0o3 + #o% datagrama% %er/n de%cartado%"
La% %iguiente% tre% co#umna% mue%tran e# K113 tamao de -entana + irtt ,ue %er/n ap#icado% a #a% cone.ione% )CP e%tab#ecida% a tra-5% de e%ta ruta" 4# K11 e% e# )amao K/.imo de 1egmento3 + e% e# tamao de# datagrama m/% grande ,ue con%truir/ e# n2c#eo para tran%mitir a tra-5% de e%ta ruta" La =entana e% #a cantidad m/.ima de dato% ,ue e# %i%tema aceptar/ de una %o#a -e0 de%de una m/,uina remota" 4# acrnimo irtt %igni&ica Ltiempo inicia# de ida + -ue#taM3 por %u% inicia#e% en ing#5%" 4# protoco#o )CP %e a%egura de ,ue #o% dato% han %ido tran%mitido% de &orma &iab#e entre m/,uina% retran%mitiendo un datagrama %i 5%te ha %ido perdido" 4# protoco#o )CP mantiene un contador de cu/nto tarda un datagrama en %er en-iado a %u de%tino3 + e# LreciboM ,ue %e recibe3 de &orma ,ue %abe cu/nto e%perar ante% de %uponer ,ue un datagrama nece%ita retran%mitir%e" 4%te proce%o %e ##ama tiempo de ida + -ue#ta" 4# tiempo de ida + -ue#ta inicia# e% e# -a#or ,ue e# protoco#o )CP u%ar/ cuando %e e%tab#e0ca una cone.in por primera -e0" Para #a ma+or'a de #o% tipo% de rede%3 e# -a#or por omi%in e% -/#ido3 pero para a#guna% rede% #enta%3 e%pecia#mente cierto% tipo% de rede% de radio pa,uete% de a&icionado%3 e# tiempo e% dema%iado pe,ueo + cau%a retran%mi%ione% innece%aria%" 4# -a#or de irtt puede a7u%tar%e u%ando e# comando route" Lo% campo% a G %igni&ican ,ue %e e%t/ u%ando e# -a#or por omi%in" http //!!!"codigo#ibre"org $A;
Antonio Perpian
Para terminar3 e# 2#timo campo mue%tra e# inter&a0 de red ,ue u%ar/ e%ta ruta" C, #u0!" +e 0" E#!"+3#!()" +e u " I !er'"6 Cuando %e in-oca con e# indicador >i net%tat pre%enta #a% e%tad'%tica% para #a% inter&ace% de red con&igu> rada% en e%e momento" 1i tambi5n %e pa%a #a opcin >a3 mo%trar/ toda% #a% inter&ace% pre%ente% en e# n2c#eo3 + no %#o a,ue##a% ,ue ha+an %ido con&igurada%" La %a#ida para net%tat %er'a a#go a%'
Ur,,!X0,)"0G,#! " !, \erne# Inter&ace tab#e I&ace K)U Ket ethH $JGG G #o $H@?H G -irbrG $JGG G (,VZ e!#!"! $( 8X>O\ 8X>488 8X>D8P G G G @?? G G G G G 8X>O=8 )X>O\ )X>488 )X>D8P )X>O=8 G G G G G G @?? G G G G AO G G G F#g :KU L8U :K8U
Lo% campo% K)U + Ket mue%tran #o% -a#ore% actua#e% de K)U + de m5trica para e%a inter&a0" La% co#umna% 8X + )X mue%tran cu/nto% pa,uete% han %ido recibido% o tran%mitido% %in errore% (8X>O\/)X>O\* o daado% (8X>488/)X>488*I cu/nto% &ueron de%cartado% (8X>D8P/)X>D8P*I + cu/nto% %e perdieron por un de%bordamiento" (8X>O=8/)X>O=8*" La 2#tima co#umna mue%tra #o% indicadore% acti-o% para cada inter&a0" 1on abre-iatura% de# nombre comp#eto de# indicador3 ,ue %e mue%tran con #a con&iguracin de #a inter&a0 ,ue o&rece i&con&ig
: L K O P 8 U Direccin de di&u%in acti-a" La inter&a0 e% un di%po%iti-o de buc#e #oca#" 1e reciben todo% #o% pa,uete% (modo promi%cuo*" A8P no &unciona para e%ta inter&a0" Cone.in punto a punto" La inter&a0 &unciona" La inter&a0 e%t/ acti-a"
M,#!r"r C, e%(, e# 4# net%tat o&rece una %erie de opcione% para mo%trar #o% puerto% acti-o% o pa%i-o%" La% opcione% >t3 >u3 >!3 + >. mue%tran cone.ione% acti-a% a puerto% )CP3 UDP3 8A<3 o Uni." 1i inc#u+e adem/% e# indicador >a3 %e mo%trar/n tambi5n #o% puerto% ,ue e%t5n e%perando una cone.in (e% decir3 ,ue e%t5n e%cuchando*" 4%to #e dar/ una #i%ta de todo% #o% %er-idore% ,ue e%t5n corriendo actua#mente en %u %i%tema" L#amar a net%tat >ta en mi Fedora produce e%ta %a#ida3 como #a %iguiente3 acortada para %er bre-e
erootl#oca#ho%t antoniofW net%tat >ta Acti-e Internet connection% (%er-er% and e%tab#i%hed* Proto 8ec->D 1end>D Loca# Addre%% tcp G G Y @OG$$ tcp G G Y ?H@?H Foreign Addre%% YY YY 1tate LI1)4N LI1)4N
&"/ 4% otro uti#itario ,ue puede %er u%ado para e%tudiar #a% cone.ione% %obre una red" 4n -e0 de ana#i0ar #a red de%de e# punto de -i%ta de #o% %er-icio% ,ue %e e%t/n e7ecutando en e##a3 nmap e%canea #o% puerto% de un computador o de una red de computadore% para captar in&ormacin acerca de cua#e% %er-icio% %e e%t/n e7ecutando" 4%to puede %er mu+ 2ti# para #oca#i0ar computadora% + detectar intru%o% + %u% %i%tema% operati-o%" Debe %er cuidado%o3 +a ,ue #o% admini%tradore% de %i%tema con%ideran ,ue e# e%caneado de un puerto e% #a primera %ea# de un ata,ue" A%eg2re%e de tener e# permi%o de e%canear una red" La %inta.i% b/%ica de nmap e%
$A?
Antonio Perpian nmap etipo de %canf eopcione%f
Por e7emp#o %i tenemo% un ho%t en nue%tra red3 con direccin ip $O;"$HB"G"$ + de%eamo% conocer ,ue puerto% tiene abierto%3 e7ecutamo%
W nmap $O;"$HB"G"$ Port 1tate ;;/tcp open ;J/tcp open $$$/tcp open HGGG/tcp open 1er-ice %%h %mtp %unrpc X$$
4%te re%u#tado puede -ariar3 dependiendo de #a% opcione% ,ue %e #e pa%en a nmap o de #a cantidad de puerto%3 ,ue %e encuentren abierto% en e# ho%t3 ,ue e%ta %iendo L%caneadoM" 1i ,ueremo%3 conocer ,ue tipo de %i%tema operati-o3 e%ta corriendo e# ho%t a# ,ue #e rea#i0amo% e# e%caneado3 %#o ba%ta con agregar e# par/metro >O a e# comando nmap"
erootl#oca#ho%t antoniofW nmap >O $O;"$HB"G"$ PO8) 1)A)4 148=IC4 ;;/tcp open %%h ;J/tcp open %mtp $$$/tcp open rpcbind H?$/tcp open ipp $J;$/tcp open orac#e ;G@O/tcp open n&% ??BO/tcp open m%>term>%erJOGG/tcp open -nc HGGG/tcp open X$$ De-ice t+pe genera# purpo%e 8unning L( u% @ILIX O1 detai#% Linu. ;"H"$O > ;"H"?$ Net!or6 Di%tance G hop%
Nmap no% mue%tra e%to cada -e0 ,ue no #ogra identi&icar con e.actitud ,ue 1i%tema Operati-o %e e%ta corriendo en e# 9o%t de%tino" d Ccmo hace nmap3 para reconocer e# %i%tema operati-o3 ,ue %e e%ta e7ecutando en e# ho%t de%tinoE" :/%icamente3 cada %i%tema operati-o3 re%ponde di&erente3 cuando %e #e en-'an pa,uete% )CP e%pec'&ico% (en rea#idad no tan e%pec'&ico%3 m/% bien incoherente%*3 a%' %e #ogra determinar con una buena e.actitud3 ,ue %i%tema operati-o %e e%ta e7ecutando" A# e7ecutar nmap3 contra un ho%t con %i%tema operati-o <indo!% XP3 %e produ7o e%te re%u#tado
W nmap >O $O;"$HB"G"$ Port 1tate 1er-ice $?J/tcp open #oc>%r$?O/tcp open netbio%>%%n @@J/tcp open micro%o&t>d% $G;J/tcp open #i%ten JGGG/tcp open &ic% 8emote O1 gue%%e% <indo!% Ke or <indo!% ;GGG 8C$ through &ina# re#ea%e3 <indo!% Ki##enium 4dition -@"OG"?GGG
Ahora bien %i rea#mente e% nece%ario conocer ,ue %i%tema operati-o %e e%ta corriendo en e# ho%t remoto3 e% me7or uti#i0ar otra herramienta3 7unto con nmap3 como por e7emp#o Due1O" Due1O3 e% un detector de %i%tema http //!!!"codigo#ibre"org $A@
Antonio Perpian
operati-o remoto3 e%te rea#i0a una me7or -eri&icacin de 1i%tema Operati-o" Por e%to e% ,ue Due%o e% uti#i0ado en e# pro+ecto Contador de 1i%tema Operati-o en Internet3 )he Internet Operating 1+%tem Counter" A continuacin -eremo% un par de opcione% m/% intere%ante% ,ue po%ee nmap" I+e !('()" +, 0,# G,#!# ")!(A,#F e ue#!r" re+ 1upongamo%3 ,ue tenemo% una red3 $O;"$HB"G".3 + de%eamo% conocer ,ue ho%t% %e encuentran acti-o%3 &/ci#mente3 #o podemo% %aber con nmap3 e%to #o podemo% conocer a# rea#i0ar un ping %can Z &"/ $#P 1\@I1LOI7I1$@JJ 8ea#i0ando 1tea#th 1can% Con e%te tipo de %can3 %e pretende no %er detectado por %o&t!are de deteccin de e%caneado%3 %e en-'an pa,uete% a #o% ho%t% con cierto% L&#ag%M )CP acti-ado% o de%acti-ado% para e-itar %er detectado%"
1N %F %X %P 1tea#th3 Nu## 1can3 e%te tipo de %can pone en o&& todo% #o% &#ag%" 1tea#th FIN 1can3 e%te tipo de %can u%a pa,uete% con e# &#ag FIN acti-ado para #a% prueba%" 1tea#th Xma% )ree 1can3 e%te tipo de %can en-'a pa,uete% con #o% &#ag FIN3 U8G3 + PU19 acti-ado%" Ping 1can3 un %can dentro de un rango e%pec'&ico de ho%t%" Rti# para conocer ,ue ho%t% %e e%t/n en #'nea %in %er detectado%"
1i de%eamo% hacer un %tea#th %can de# tipo Xma% )ree3 + adema% de%eamo% conocer ,ue %i%tema operati-o e%ta corriendo e# ho%t de de%tino3 e7ecutamo% Z &"/ $#X $O 1\@I1LOI1I@ De%pi%tar#o con un %eue#o o Deco+ 1can >D 4%ta opcin %e uti#i0a para tratar de engaar a# ho%t3 a# cua# %e e%ta Le%caneandoM3 ,ue #o% e%caneado% %e e%t/n generando de%de otro% ho%t%3 ,ue %e e%peci&ican en #a opcin >D" 4n e# %iguiente e7emp#o3 rea#i0amo% un (In-i%ib#e* 1tea#th Xma% )ree %can (>%X* hacia e# ho%t $O;"$HB"G"$3 en #o% puerto% ;J(1K)P*3 J?(DN1*3 #e indicamo% a nmap ,ue no genere ping% hacia e# ho%t3 + tratamo% de engaar a# ho%t (>D3 Deco+*3 haci5ndo#e creer ,ue #o% %can% %e e%t/n generando de%de #o% ho%t% $";"?"@ + J"H"A"B" Wnmap >p ;J3J? >%X >PG >D $";"?"@3J"H"A"B $O;"$HB"G"$ Gu"r+" +, 0,# Re#u0!"+,# +e !u# S)" # Nmap permite guardar #o% re%u#tado% de un %can3 en -ario% tipo% de &ormato de archi-o Norma#3 XKL3 Grepab#e3 A##3 + en &ormato L1M (%ohip) 6iDdo? &GrK iNto )9e &iL? U %Pec&+ @% an arGuK4n)j3 o me7or conocido como &ormato 1cript \iddiej*" 1i de%eamo% hacer un %tea#th %can de# tipo Xma% )ree3 tambi5n de%eamo% conocer ,ue %i%tema operati-o e%ta corriendo e# ho%t de de%tino3 + adem/% de%eamo% guardar e# re%u#tado de e%te %can en un archi-o ##amado Lre%u#tado>e%caneadot"t.tM3 e7ecutamo% Z &"/ $#X $O 1\@I1LOI1I@ $,N re#u0!"+,$e#)" e"+,I!%! Ahora %i #o ,ue de%eamo% e% rea#i0ar e# e%caneado anterior pero dentro de un rango de ho%t% e%pec'&ico%3 digamo% de# ho%t $O;"$HB"$"$ ha%ta #a ip $O;"$HB"$";JJ 3 + de%eamo% guardar e# re%u#tado de# %can en un archi-o de te.to norma# entonce% e7ecutamo% Z &"/ $#X $O 1\@I1LOI1I1$@JJ $,N re#u0!"+,$e#)" e"+,I!%! I !er'")e# GrC'()"# /"r" &"/I 1i no de%ean3 uti#i0ar #a inter&a0 de comando% de nmap3 &/ci#mente pueden uti#i0ar ; de #a% inter&ace% http //!!!"codigo#ibre"org $AJ
Antonio Perpian gr/&ica% m/% conocida%3 ,ue e.i%ten para nmap nmapF4 + \KAP"
!)/0,g+ Detecta ra%treo% rea#i0ado% de &orma L%i#encio%aM3 e% decir a,ue##a% ,ue u%an a#guna t5cnica e%pecia# como cone.ione% medio abierta% para ,ue %ean m/% di&'ci#e% de detectar" A#guna% herramienta% ,ue rea#i0an e%te tipo de ra%treo% %on NKAP3 Due1o + 1aint" Puede obtener%e e%ta herramienta en http //6a#ug"#ug"net/tcp#ogd/" SG"+,M A# igua# ,ue tcp#ogd3 1hado! detecta ra%treo% %i#encio%o%" 4% &/ci# de in%ta#ar + %ue#e dar bueno% re%u#tado%" 4%t/ &ormado por do% parte% (a# meno%* un %en%or %ituado &uera de# corta&uego% + un ana#i0ador de #og% ,ue %e debe in%ta#ar en una m/,uina interna de #a red" Puede obtener%e m/% in&ormacin en http //!!!"n%!c"na-+"mi#/I114C/CID/ (http //!!!"n%!c"na-+"mi#/I114C/CID/*" H,#!Se !r- >/r,-e)!, A4")u#? 4%ta herramienta bu%ca comportamiento% e.trao% a# entrar en e# %i%tema3 como hacer#o &uera de #a% hora% de traba7o3 de%de #ugare% no habitua#e%3 etc" 9o%t1entr+ %e di%tribu+e ba7o #icencia GPL + puede obtener%e en http //!!!"p%ionic"com/abacu% 7unto con otra% herramienta% re#acionada% eng#obada% dentro de# pro+ecto Abacu%" !)/+u&/ 4%te uti#itario #e permite a un admini%trador de %i%tema monitorear todo% #o% pa,uete% ,ue -ia7an por una inter&ace de %u red" 1i ha+ un ata,ue en cur%o3 #a in&ormacin de# atacante puede %er obtenida de #a %a#ida de# comando" No e% mu+ e&ecti-a en una inter&a0 con mucho tr/&ico +a ,ue de-o#-er/ much'%ima in&ormacin" A,u' uno% e7emp#o% r/pido% de tcpdump Z !)/+u&/ $( e!G7 $) 177 $# J77 No% %acar/ por panta##a #o% primero% $GG pa,uete% (>c $GG* ,ue pa%en por #a inter&a0 ethG (>i ethG* con un tamao m/.imo de pa,uete de JGG b+te% (>% JGG* Z !)/+u&/ $.e) 1 4n e%te %e mue%tra ,ue tenemo% -aria% &orma% de %acar pa,uete% por panta##a >, (,uiet o %i#encio%o (poca in&ormacin** + >- + >-- ,ue -an de meno% a m/% in&ormacin" La opcin >e no% %acar/ #a% direccione% mac origen/de%tino + >c $ no% %acar/ %o#o e# primer pa,uete como +a hemo% e.p#icado ante%" Due tipo de tr/&ico podemo% capturar Podemo% capturar tr/&ico ba%ado en Direccione% Protoco#o% Puerto% Caracter'%tica% de pa,uete% Combinacin de todo% e%to% 2(0!r" +, /,r D(re))(, e# Z !)/+u&/ G,#! &(gue0 No% %acar/ toda #a in&ormacin re#ati-a a# ho%t Lmigue#M" Z !)/+u&/ +#! G,#! &(gue0 No% %acar/ toda #a in&ormacin donde e# ho%t de%tino %ea qmigue#p Z !)/+u&/ e!Ger #r) G,#! 7:"7:E4:E:e1:1+ http //!!!"codigo#ibre"org $AH
Antonio Perpian
No% %acar/ toda #a in&ormacin donde #a tar7eta de red de origen %ea #a direccin mac G aG ?b ? e$ $d (1inta.i% ether ho%t* Z !)/+u&/ h) 177 e! 1\@I1LOI1I7 &"#D @JJI@JJI@JJI7 Ko%trar/ #o% primero% $GG pa,uete% (>c $GG* de #a red $O;"$HB"$"G (net $O;"$HB"$"G* con una ma%cara de red de ;JJ";JJ";JJ"G (ma%6 ;JJ";JJ";JJ"G* 2(0!r" +, /,r /r,!,),0,# Z !)/+u&/ u/+ Ko%trar/ todo% #o% pa,uete% ,ue -ia7en por udp Z !)/+u&/ h( e!G7 h) 1777 h# E77 u+/ Ko%trar/ #o% primero% $GGG (>c $GGG* pa,uete% de #a inter&a0 ethG (>i ethG* con un tamao de pa,uete m/.imo de ?GG b+te% (>% ?GG* en e# protoco#o udp" Z !)/+u&/ /,r! @E Ko%trar/ todo% #o% pa,uete% ,ue -a+an por e# puerto ;? Me6)0" +, 2(0!r,# Z !)/+u&/ ,! /,r! @@ Ko%trar/ toda #a in&ormacin e.cepto #a ,ue -a+a por e# puerto ;; Z !)/+u&/ /,r! @E " + G,#! "0e% Ko%trar/ toda #a in&ormacin ,ue -a+a por e# puerto ;? + por e# ho%t a#e. Z !)/+u&/ ,! S>/,r! @E " + G,#! "0e% " + G,#! " !, (,?T Ko%trar/ toda #a in&ormacin ,ue ni -a+a por e# puerto ;?3 ni por e# ho%t a#e. ni por e# ho%t antonio Z !)/+u&/ +#! G,#! "0e% " + +#! /,r! O7 Ko%trar/ toda #a in&ormacin ,ue -a+a a# ho%t a#e. (d%t ho%t a#e.3 u%ua#mente mi ma,uina* + a# puerto de%tino BG (d%t port BG* Z !)/+u&/ $( e!G7 $) 177 $# 1777 #r) G,#! " !, (, " + S>+#! G,#! "0e% ,r +#! G,#! 5"66?T " + +#! /,r! @@ Como -e%3 me0c#ando in&ormacin podemo% tener &i#tro% #argo% + todo #o comp#icado% ,ue ,ueramo%""" e%te &i#tro no% mo%trar/ #o% primero% $GG pa,uete% ,ue pa%en por #a inter&a0 ethG (>i ethG* con tamao m/.imo de pa,uete de $GGG b+te% (>% $GGG* ,ue -engan de# ho%t antonio (%rc ho%t antonio* + ,ue -a+an o a# ho%t a#e. o a# ho%t 7a00 L(d%t ho%t a#e. or d%t ho%t 7a00*M a# puerto ;; (d%t port ;;*" WG,(# La% entrada% a%ociada% con intru%ione% por #o genera# contendr/ un nombre de dominio o direccin IP ,ue apuntan a# %itio donde %e di%par e# #og" Obtener e# IP o e# dominio #e permite a un admini%trador b#o,uear como #e %ea nece%ario con uti#itario% como #o% !rapper% de )CP3 pero a2n m/% in&ormacin puede %er obtenida con e# comando !hoi% para bu%car e# dueo de #a direccin" COMUNICACIONES SEGURA Con e# crecimiento de# Internet + #a nece%idad de #a% di&erente% organi0acione% de compartir data %en%ib#e a tra-5% de #a red p2b#ica3 e# u%o de cana#e% de comunicacin %egura %e ha con-ertido en una nece%idad imperante" da %ea ,ue #a comunicacin %ea a corta di%tancia por una intranet o por Internet mi%ma3 #a comunicacin debe %er %egura3 %ino e% una in-itacin a abu%o% potencia#e%" La% herramienta% di%ponib#e% para ##e-ar e%to a cabo en GNU/Linu. %on %%h3 %&tp + %cp" Cada uno de e%to% %er/n di%cutido% en #a% %iguiente% %eccione% 119 1F)P 1CP http //!!!"codigo#ibre"org $AA
Antonio Perpian
SSH La ma+or'a de #a% comunicacione% en e# Internet %e ##e-an a cabo %in ning2n tipo de encriptacin" La data u otro tipo de in&ormacin3 como #a% contra%ea%3 pueden %er par%eada% en e# tr/&ico de #a red" 1e dan %ituacione% en #a% cua#e% e%ta% pueden %er interceptada% + entonce% %e da #a %ituacin ,ue in&ormacin como #a% contra%ea% %e pueden -er comprometida%" 4# 119 (1ecure 1oc6et 9o%t* en&renta e%ta prob#em/tica con #a creacin de cana#e% de comunicacin encriptado% + %eguro% entre #o% do% punto% ,ue de%ean comunicar%e" La 2nica rea# de%-enta7a de# 119 e% ,ue con%ume ancho de banda adiciona# por #a encriptacin de #o% dato%" 4% de ab%o#uta nece%idad ,ue toda #a comunicacin de# %uperu%uario %e ##e-ada a cabo por %%h + no por te#net" Una -e0 in%ta#ado + con&igurado no ha+ di&erencia3 de%de e# punto de -i%ta de# u%uario3 entre te#net + e# %%h3 +a ,ue e# comando %%h e% un %u%tituto %eguro de #o% comando% r#ogin3 r%h3 + te#net" 4%to permite iniciar %e%ione% + e7ecutar comando% en m/,uina% remota% Q ##G e.u(/,Ire&,!, Debe di&erenciar entre e# %%h ,ue %e re&iere a un comando o uti#itario e%pec'&ico a# 119 ,ue %e puede re&erir a un grupo de uti#itario% ,ue garanti0an una comunicacin %egura" 8ecuerde ,ue ning2n m5todo de comunicacin debe %er con%iderado $GGS %eguro pero ha%ta e# d'a de ho+ no %e han reportado m5todo% de crac6ear 119" 4# pa,uete de 119 contiene uti#itario% de reemp#a0o para te#net3 r#ogin3 r%h3 &tp + rcp3 #o% cua#e% tran%miten in&ormacin por e# Internet en te.to p#ano" Lo% crac6er% pueden e.p#otar e%ta debi#idad para con%eguir contro# %obre nue%tro %i%tema con %imp#e monitoreo de programa% como %ni&&it" Adiciona# a e%ta debi#idad e%ta otra ,ue e% ,ue e##o% permiten en %u %i%tema% de autenti&icacin #a opcin de -eri&icar #o% u%uario% igua#ando %i% nombre% de u%uario% con %u direccin IP3 a%' permitiendo a un u%uario entrar %in e# u%o de una contra%ea" Un crac6er puede apro-echar e%ta debi#idad con e# m5todo de %poo&ing o e# u%o de una IP &a#%a" 4# pa,uete 119 e#imina e%to% prob#ema% u%ando encriptacin + protoco#o% de autenti&icacin para e&ectuar #a% mi%ma% &uncione% ,ue #o% programa% de te#net3 r#ogin r%h3 &tp + rcp" La data ,ue %e tran%mite por e# Internet u%ando #o% uti#itario% de# 119 e% encriptada3 #o ,ue #o hace ca%i impo%ib#e de robarno% #a in&ormacin" 4# 119 tambi5n permite m5todo% m/% a#to de autenti&icacin para -eri&icar #a autenticidad de #o% u%uario%" 4# 119 u%a un %i%tema de ##a-e% encriptada% para -eri&icar #a -a#ide0 de# u%uario" De e%te tema hab#aremo% m/% ade#ante" 4# pa,uete 119 e%t/ di%ponib#e en do% -er%ione%3 119$ + e# 119;3 ,ue repre%entan do% protoco#o% comp#etamente di&erente" Como e# 119$ +a no %e mantiene3 %e recomienda e# u%o de# 119; %o#amente" 4# 119; di&iere de# 119$ en -aria% co%a%" Ambo% u%an encriptacin + m5todo% &uerte de autenti&icacin3 pero %#o e# 119; inc#u+e e# %&tp" 119; #imita e# n2mero de m5todo% de autenti&icacin" 4# 119$ permite \erbero%3 #ogin "rho%t%3 contra%ea% + e# %i%tema de ##a-e% encriptada% 81A3 pero e# 119; %#o permite e# %i%tema de ##a-e% + contra%ea% encriptada% D1A" 119; no permite e# #ogin "r#ogin por %u% mucha% -u#nerabi#idade%" Con #o% uti#itario% tradiciona#e% #o% crac6er% pueden obtener acce%o (&tp3 r#ogin3 r%h3 etc* ingre%ando a# %i%tema %in una contra%ea3 %i e# %i%tema reconoce o IP o e# e,uipo" La in&ormacin de# u%uario e% %imp#emente comparada con #a de# archi-o "rho%t% para re-i%ar #a -a#ide03 a%' haciendo ,ue e# %i%tema %ea -u#nerab#e a# m5todo de %poo&ing" 4# 119$ pre-iene e# %poo&ing inc#u+endo #a opcin de combinar e# #ogin "rho%t% con un %i%tema de ##a-e% encriptada% como e# 81A" Con #a opcin in-ocada3 e% re,uerido de# u%uario de%incriptar #a ##a-e ,ue e# %er-idor #e pre%ent e igua#ar #a in&ormacin dentro de# archi-o "rho%t% o #a de# archi-o /etc/ho%t%"e,ui-" 4# 119; e#imina #a -u#nerabi#idad e %poo&ing e#iminando #a opcin de# #ogin "rho%t%" http //!!!"codigo#ibre"org $AB
Antonio Perpian
4.i%ten m/% di&erencia% entre e# 119$ + e# 119;3 debido a ,ue %on do% protoco#o% comp#etamente di&erente" La ma+or'a de %er-idore% e%t/n con&igurado% para mane7ar #a% peticione% de# c#iente -'a cua#,uier de #o% do% protoco#o%" 4%to %e ##e-a a cabo con&igurando a# daemon de 119; ,ue #ance un 119$ cuando %e #e e&ect2an peticione% para e%te protoco#o" Lo% pa,uete% tambi5n di&ieren en e# uti#itario %&tp de# 119;" Adem/% de e%ta% di&erencia% tambi5n e.i%ten do% -er%ione% de# 1193 p2b#ica + pri-ada3 #o ,ue %igni&ica ,ue una e% gratuita + #a otra %e -ende" No ha+ di&erencia entre amba% debido a #o% re,uerimiento% b/%ico% de #a I4)F (Internet 4ngineering )a%6 Force*" 4# Open119 %oporta e# 119;" U#, +e0 ),&" +, ##G Inicie una %e%in en una m/,uina remota con %%h3 ,ue e% mu+ parecido a uti#i0ar e# comando te#net" Por e7emp#o3 para iniciar una %e%in en una m/,uina remota ##amada %antiago"codigo#ibre"org3 tec#ear/ #o %iguiente de%de e# int5rprete de comando% de #a %he## Z ##G #" !("g,I),+(g,0(4reI,rg La primera -e0 ,ue e7ecute %%h contra una m/,uina remota3 -er/ un men%a7e pidiendo#e %i de%ea a#macenar una ##a-e con un ho%t de%conocido re%pondiendo %i o no (+e% no*
erootl#oca#ho%t antoniofW %%h $A;"?$"$GG";J; )he authenticit+ o& ho%t Z$A;"?$"$GG";J; ($A;"?$"$GG";J;*Z canZt be e%tab#i%hed" 81A 6e+ &ingerprint i% cG dc Oa G& &a JB aH c; d@ ?$ &c e; $a da HH Hd" Are -,u #ure -,u M" ! !, ), !( ue ), e)!( g >-e#/ ,?1
)ec#ee +e% para continuar" 4%to #e permitir/ aadir a# %er-idor en %u #i%ta de ho%t conocido% como %e mue%tra en e# %iguiente men%a7e
W"r ( g: Per&" e !0- "++e+ c1P@IE1I177I@J@c >DSA? !, !Ge 0(#! ,' D ,M G,#!#I
A continuacin3 -er/ un indicador de comando% pregunt/ndo#e por %u contra%ea de%de una m/,uina remota" De%pu5% de introducir %u contra%ea3 %e encontrar/ en e# indicador de comando% de #a m/,uina remota" 1i uti#i0a %%h %in ninguna de #a% opcione% de #a #'nea de comando%3 e# nombre de u%uario con e# ,ue %e ha -a#idado como #a m/,uina #oca# %e -a#idar/ en #a m/,uina remota" 1i ,uiere e%peci&icar un nombre de u%uario di&erente3 uti#ice e# %iguiente comando Z ##G $0 ,&4re$u#u"r(, 1P@IE1I177I@J@ )ambi5n puede uti#i0ar #a %inta.i% ##G ,&4re$u#u"r(,X ,&4re$#erA(+,r 4# comando %%h %e puede uti#i0ar para e7ecutar un comando en una m/,uina remota %in acceder a# indicador de comando% (prompt*" La %inta.i% e% %%h ho%tname comando" Por e7emp#o3 %i ,uiere e7ecutar e# comando #% /u%r/%hare/doc en #a m/,uina %antiago"codigo#ibre"org3 tec#ee e# %igueinte comando de%de e# indicador de comando% Z ##G #" !("g,I),+(g,0(4reI,rg 0# $0 /u#r/#G"re/+,) Una -e0 ,ue introdu0ca #a contra%ea correcta3 -i%ua#i0ar/ e# contenido de /u%r/%hare/doc + -o#-er/ a %u indicador de comando%" U#, +e0 ),&" +, #)/ 4# comando %cp puede %er uti#i0ado para tran%&erir archi-o% entre m/,uina% ba7o una cone.in %egura + encriptada" 4%to e% %imi#ar a rcp3 pero como mencion5 %egura" La %inta.i% genera# para tran%&erir un archi-o #oca# a un %i%tema remoto e% %cp archi-o>#oca# nombre>u%uariolnombre>ho%t /ruta/copiar/archi-o>nombre" Para tran%&erir e# archi-o #oca# #i%tado"t.t a %u cuenta de nombre antonio en e# ho%t %antiago"codigo#ibre"org3 tec#ee #o %iguiente en e# interprete de comando% Z #)/ 0(#!"+,F!%! " !, (,X#" !("g,I),+(g,0(4reI,rg:/G,&e/" !, (, La %inta.i% genera# para tran%&erir un archi-o de%de un ho%t remoto a nue%tro %i%tema #oca# e% http //!!!"codigo#ibre"org $AO
Antonio Perpian
W %cp antoniol%antiago"codigo#ibre"org /home/antonio/#i%tado"t.t #i%tado"t.t U#, +e0 ),&" +, #'!/ La uti#idad %&tp ,ue puede %er u%ada para abrir una %e%in %egura e interacti-a de F)P" 4%to e% %imi#ar para &tp a e.cepcin de ,ue e%te uti#i0a un %eguridad de cone.in encriptada" La %inta.i% genera# e% %&tp nombre>u%uariolho%tname"com Una -e0 autenti&icado3 podr/ uti#i0ar un con7unto de comando% %imi#ar a# con7unto uti#i0ado por e# comando F)P" Con%u#te #a% p/gina% de# manua# de %&tp para obtener un #i%tado de todo% e%to% comando%" Para con%u#tar e# manua# e7ecute e# comando man %&tp de%de e# indicador de comando%" La uti#idad %&tp e%t/ %#o di%ponib#e en #a -er%ione% ;"J"Gp$ de Open119 + %uperiore%" La %inta.i% comp#eta e% P %&tp e >P ruta>remotaf e># u%uario>remotof e >p puerto>remotof e>Cf enombre>ho%tf 4# %&tp puede %er u%ado en &orma interacti-a3 donde podemo% e7ecutar comando%3 a,u' un e7emp#o3 #uego de e%cribir %&tp en #a #'nea de comando% + pre%ionar enter3 %omo pre%entado% con e# prompt de %&tpc" Una #i%ta de e%to% comando% %e puede obtener e%cribiendo LEM + pre%ionando 4N)48 Q #'!/ 1 Con e# %iguiente comando de# de# prompt interacti-o podemo% abrir una cone.in a un &tp con e# nombre de u%uario migue#3 a%' #'!/Y ,/e $0 &(gue0 '!/I),+(g,0(4reI,rg Con e# %iguiente comando pedimo% #a copia de# archi-o carta"t.t de%de e# e,uipo remoto ,ue no% encontramo% conectado% en #a actua#idad #'!/Y ge! )"r!"I!%! Ge er"r P"re# +e C0"Ae# 1i no ,uiere introducir %u contra%ea cada -e0 ,ue %e conecte a una m/,uina remota +a %ea con %%h3 %cp3 o %&tp3 puede generar un par de c#a-e% de autori0acin" La% c#a-e% deben %er generada% para cada u%uario" Para generar #a% c#a-e% de un u%uario3 debe %eguir #o% %iguiente% pa%o% como e# u%uario ,ue ,uiere conectar%e a m/,uina% remota%" 1i comp#eta #o% %iguiente% pa%o% como root3 %#o root %er/ capa0 de uti#i0ar e%ta% c#a-e%3 %i de%ea digamo% ,ue %ea migue# entonce% ingre%e como migue#" Ge er")(* +e u P"r +e C0"Ae# /"r" 0" Ver#(* @ U%e #o% %iguiente% pa%o% para generar un par de c#a-e% D1A para #a -er%in ; de# protoco#o 119" $" Para generar e# par de c#a-e% D1A ,ue &uncionan con #a -er%in ; de# protoco#o3 e%criba e# %iguiente comando en e# int5rprete de comando% de #a %he## Z ##G$De-ge $! +#" Acepte #a #oca#i0acin por de&ecto de# archi-o k/"%%h/idgr%a" Introdu0ca una pa#abra de pa%o di&erente a #a contra%ea de %u cuenta + con&irme 5%ta introduci5ndo#a de nue-o" Una ad-ertencia Una pa#abra de pa%o e% una cadena de caractere% o pa#abra% uti#i0ada% para autenti&icar a un u%uario" La% pa#abra% de pa%o %e di&erencian de #a% contra%ea% en ,ue %e pueden uti#i0ar e%pacio% o tabu#adore% en #a pa#abra de pa%o" La% pa#abra% de pa%o %on genera#mente m/% #arga% ,ue #a% contra%ea% por,ue e##a% %on habitua#mente &ra%e% en #ugar de una %imp#e" La c#a-e p2b#ica e%t/ e%crita en k/"%%h/idgd%a"pub" 4% de %uma importancia ,ue no de #a c#a-e pri-ada a nadie" ;" Cambie #o% permi%o% de %u directorio "%%h mediante e# u%o de# comando chmod AJJ k/"%%h" ?" Copie e# contenido de k/"%%h/identit+"pub a# archi-o k/"%%h/authori0edg6e+% en #a m/,uina %obre #a cua# http //!!!"codigo#ibre"org $BG
Antonio Perpian
%e ,uiere conectar" 1i k/"%%h/authori0edg6e+% no e.i%te3 puede copiar e# archi-o k/"%%h/identit+"pub a# archi-o k/"%%h/authori0edg6e+% en #a m/,uina remota" @" 1i e%t/ e7ecutando GNOK43 -a+a a #a #a %eccin de nombre Con&iguracin de %%h>agent con GNOK4" 1i no e%t/ e7ecutando GNOK43 -a+a a #a #a %eccin de nombre Con&iguracin de %%h>agent" Ge er")(* +e u P"r +e C0"Ae# RSA /"r" 0" Ver#(* @ 1iga #o% %iguiente% pa%o% para generar un par de c#a-e% 81A para #a -er%in ; de# protoco#o 119" 4%to e% #o predeterminado para iniciar con Open119 ;"O" $" Para generar un par de c#a-e% 81A para traba7ar con #a -er%in ; de# protoco#o3 tec#ee e# %iguiente comando de%de e# indicador de comando% de #a %he## Z ##G$De-ge $! r#" ;" Acepte #a #oca#i0acin por de&ecto de# archi-o k/"%%h/idgr%a" Introdu0ca una pa#abra de pa%o di&erente a #a contra%ea de %u cuenta + con&irme 5%ta introduci5ndo#a de nue-o" La c#a-e p2b#ica e%t/ e%crita en k/"%%h/idgr%a"pub" No di%tribu+a #a c#a-e a nadie" ?" Cambie #o% permi%o% de %u directorio "%%h uti#i0ando e# comando chmod AJJ k/"%%h" @" Copie e# contenido de k/"%%h/idgr%a"pub a k/"%%h/authori0edg6e+%; en #a m/,uina en #a ,ue %e ,uiere conectar" 1i e# archi-o k/"%%h/authori0edg6e+%; no e.i%te3 podr/ copiar e# archi-o k/"%%h/idgr%a"pub a# archi-o k/"%%h/authori0edg6e+%; en #a otra m/,uina" J" 1i e%t/ e7ecutando GNOK43 -a+a a #a #a %eccin de nombre Con&iguracin de %%h>agent con GNOK4" 1i no e%t/ e7ecutando X <indo!3 -a+a a #a #a %eccin de nombre Con&iguracin de %%h>agent" WRAPPERS TCP Lo% ho%t% %e pueden conectar a #o% %i%tema% a tra-5% de di&erente% %er-icio% de #a red" Pero3 todo% #o% ho%t% no deben %er permitido% u%ar todo% #o% %er-icio% de una red" Para -er %i un ho%t tiene acce%o a un %er-icio3 un daemon debe re-i%ar un ACL (Acce%% Contro# Li%t* para -eri&icar #o% permi%o% de un u%uario en un %i%tema" 4%te daemon e% ##amado e# )CP <rapper" 4n e%ta %eccin cubriremo% #o% %iguiente% tema% CDu5 e% un )CP <rapperE Con&iguracin de #o% Archi-o% /etc/ho%t"a##o! + /etc/ho%t%"den+ Con&iguracin de# )CP <rapper Limitacione% de# )CP <rapper U%o% a-an0ado% de tcpg!rapper% :Bu; e# u TCP Wr"//er1 4# )CP <rapper e% un daemon ,ue pre-iene a #o% ho%t% no autori0ado% de acce%ar #o% %er-icio% de un %i%tema" 4%to %e e&ect2a a tra-5% de #a en-o#tura de cada %er-icio con un programa ,ue re-i%a una ACL para -er %i e# ho%t re,uiere e# %er-icio e%t/ permitido a acce%ar e# %er-icio" Por e7emp#o3 %i e# daemon de )CP <rapper e% u%ado por e7emp#o con e# %er-idor de F)PD3 entonce% e# )CP <rapper re-i%a %i un u%uario e.terno ha %ido denegado acce%o cuando e%te ho%t% e.terno re,uiere de e%te %er-icio" 1i e# u%uario e% permitido entonce% e# F)PD %e e7ecuta + #e da e# %er-icio3 %ino entonce% e# acce%o e% denegado" 47ecutar un comando o %he## %cript tambi5n e% permitido como opcin de# )CP <rapper" 4# primer re,ui%ito e% tener in%ta#ado + con&igurado e# %uper%er-idor Xinetd3 e%to e% mu+ &/ci# + %o#o %e trata de in%ta#ar e# demonio + a%egurar%e de ,ue %e arranca durante e# inicio de #a m/,uina" Para a%egurarno% de ,ue #o tenemo% in%ta#ado + corriendo e7ecutaremo% e# comando %er-ice% .inetd %tatu%" http //!!!"codigo#ibre"org $B$
Antonio Perpian
1i todo %a#e bien entonce% no% concentramo% en con&igurar #o% %er-icio% ,ue e%te e7ecutar/3 #o% archi-o% de #a% con&iguracione% de cada %er-icio ,ue e%te %uper-i%a e%t/n en #a carpeta /etc/.inetd"d3 en e%ta cada %er-icio pone %u carpeta3 a continuacin una %a#ida de #% a e%ta carpeta
Ur,,!X0,)"0G,#! " !, (,VZ 0# $0 /e!)/%( e!+I+/ >r!>r>>r>> $ root root $$@J Nun $? ;G$G chargen>dgram >r!>r>>r>> $ root root $$@A Nun $? ;G$G chargen>%tream >r!>r>>r>> $ root root J;$ Nun $? ;G$G c-% >r!>r>>r>> $ root root ??; Oct $J ;GGA r%+nc >r!>r>>r>> $ root root J$J Nun $? ;G$G %%h >r!>r>>r>> $ root root $;GG Nun $? ;G$G tcpmu.>%er-er >r!>r>>r>> $ root root JBH Feb ; $J ;A t&tp
Cada #'nea %e re&iere a un %er-icio o con&iguracin interna de# Xinetd ,ue podemo% manipu#ar" 1in tcpg!rapper% dentro de cada archi-o de con&iguracin para e7ecutar e# demonio en particu#ar dir/ #erAer ] /u#r/#4( /( I!e0 e!+ 4%to %igni&ica ,ue cada ##amada a# puerto te#net %er/ ge%tionada por e# demonio in"te#netd Ahora in%ta#amo% e# pa,uete tcpg!rapper%3 una -e0 in%ta#ado #o 2nico nece%ario e% cambiar #a #'nea anterior por a#go como e%to #erAer ] /u#r/#4( /!)/+ ( I!e0 e!+ La di&erencia e% ,ue ahora3 #o ,ue %e e7ecuta a# recibir un te#net e% e# demonio tcpd3 a# ,ue %e #e pa%a como par/metro e# demonio ,ue debe contro#ar3 en e%te ca%o in"te#netd" Para m/% in&ormacin man tcpd3 man ho%t%gacce%%3 man ho%t%"a##o! + man ho%t%"den+" C, '(gur")(* +e 0,# Ar)G(A,# /e!)/G,#!I"00,M - /e!)/G,#!#I+e Una -e0 #o% %er-icio% han %ido en-ue#to o !rapped3 e% importante con&igurar #o% ho%t% ,ue %er/n permitido% u%ar cada %er-icio" A,u' #e pre%entamo% parte de #o% archi-o% /etc/ho%t"a##o! + e# /etc/ho%t%"den+ para demo%trar una con&iguracin de e7emp#o < /e!)/G,#!#I"00,M W 4%te archi-o de%cribe #o% ho%t% ,ue 1i e%t/n permitido% u%ar e# %er-icio #oca# de XIN4)3 W por deci%in de# %er-idor q/u%r/%bin/tcpdp W te#netd "codigo#ibre"org 4XC4P) migue#"codigo#ibre"org &tpd i-e#i%"codigo#ibre"org ALL LOCAL < /e!)/G,#!#I+e W 4%te archi-o de%cribe #o% ho%t% ,ue NO e%t/n permitido% u%ar e# %er-icio #oca# de IN4)3 W por deci%in de# %er-idor q/u%r/%bin/tcpdp W &tpd ALL /bin/mai# >% S9 root V ALL ALL Nota La% pa#abra% como ALL3 LOCAL + 4XC4P) %on parte de# #engua7e e%pecia# de #o% archi-o% de con&iguracin de# )CP <rapper" )oda% #a% #'nea% ,ue empie0an con LWM %on comentario% e ignorado% en e# momento de interpretacin" La% otra% #'nea% %on para e%peci&icar acce%o" 4n e# archi-o ho%t%"a##o! #a% 2#tima% tre% #'nea% %on para de&inir acce%o de e%ta maneraI para e# %er-icio te#netd3 toda% #a% computadora% en #a red "codigo#ibre"org %on permitida% e.cepto por #a de nombre migue#"codigo#ibre"org" F'7e%e ,ue e# ("*,ue precede e# dominio de codigo#ibre"org3 http //!!!"codigo#ibre"org $B;
Antonio Perpian
indica ,ue toda% #a% computadora% en una red en particu#ar %on permitida% e# acce%o" Para e# %er-icio de te#netd3 %o#amente e# computador i-e#i%"codigo#ibre"org e%t/ permitida e# acce%o a# %er-icio &tp" 4# comod'n ALL %e re&iere a todo% #o% %er-icio% + e# comod'n LOCAL ,ue toda% #a% computadora% #oca#e% %on permitida% todo% #o% %er-icio%" 4# daemon de )CP <rapper re-i%a primero e# archi-o /etc/ho%t%"a##o!" 1i a##' no %e encuentra una entrada para un computador en e%pec'&ico o un %er-icio ,ue e# computador de%ea u%ar3 entonce% %e re-i%a e# archi-o% /etc/ho%t%"den+" 4# archi-o /etc/ho%t%"den+ tiene e# mi%mo &ormato + %u% pa#abra% re%er-ada% %on #a% mi%ma%" La 2nica entrada en e%te e7emp#o e% ALL3 e%te campo indica ,ue todo% #o% %er-icio% %er/n denegado% a toda% #a% computadora% ,ue no e%t5n +a autori0ada% en e# /etc/ho%t%"a##o!" 4%te m5todo pro-ee buena %eguridad con un menor chance de ,ue a#g2n computador de%conocido ad,uiera acce%o a nue%tro% %er-icio%" La #'nea de &tpd ALL: /4( /&"(0 $# 8H r,,! ` pro-ee para ,ue un programa %ea e7ecutado en ca%o de ,ue un computador ,ui%ie%e ad,uirir acce%o %in permi%o a# %er-icio de &tp" 4# programa mai# en-iar/ un men%a7e a# u%uario root con e# nombre de# ho%t ,ue intento acce%ar e# %i%tema con e# %er-icio de &tp %in autori0acin" Una -e0 #o% tre% archi-o% de un %er-idor e7ecutando -'a .inetd (/etc/.inetd"d/%er-idor3 /etc/ho%t%"a##o! + /etc/ho%t%"den+* e%t5n con&igurado% e# )CP <rapper debe e%tar comp#etamente &unciona# en %u %i%tema + deber/ pro-eer bueno% ni-e#e% de %eguridad para %u %i%tema" C, '(gur")(* +e0 TCP Wr"//er 1e ba%a 2nicamente en do% archi-o%3 /etc/ho%t%"a##o! + /etc/ho%t%"den+3 aun6e como -eremo% m/% ade#ante %o#o hace &a#ta uno de e##o%" Por de&ecto3 a meno% ,ue %e indi,ue #o contrario3 todo% #o% %er-icio% +/o direccione% de&inida% en e# ho%t%"a##o! %on admitida% mientra% ,ue #a% de&inida% en e# ho%t%"den+ %on recha0ada%" La %inta.i% de e%to% archi-o% e% mu+ %imp#e %er-icio ho%t accin
%er-icio ho%t 4% #a primera pa#abra ,ue encontramo% en cada #'nea de #o% archi-o% en .inetd"d3 por e7emp#o %on %er-icio% e# in"te#netd3 in"&ingerd """ 1i ,ueremo% re&erirno% a todo% #o% puerto% ba%tar/ con poner ALL3 tambi5n podemo% poner una #i%ta de %er-icio% %eparado% por e%pacio% en b#anco" 4% una o m/% direccione% de red %eparada% por e%pacio% en b#anco3 e%ta direccin %e contra%ta con #a de# %i%tema ,ue no% hace #a peticin de cone.in" La direccin puede %er de# tipo IP num5rica3 IP/ma%cara3 rango de IP (e7emp#o $O;"$HB"*3 dominio (como por e7emp#o codigo#ibre"org*3 grupo de dominio% (como por e7emp#o "org o codigo#ibre"* Adema% pueden u%ar%e otra% pa#abra% como ALL (para re&erir%e a todo% #o% ho%t*3 LOCAL (#o% ,ue no tiene% un " en %u nombre* \NO<N o UN\NO<N (de #o% ,ue %e tiene in&ormacin o no* + PA8ANOID (e# nombre ,ue te o&recen no concuerda con e# ,ue tcpg!rapper% e%pera*" Puede tener @ -a#ore%3 accept (acepta #a cone.in %i %e cump#en #a% condicione% impue%ta% por %er-icio/ho%t*3 den+ (recha0a #a cone.in3 %pa!n (acepta #a cone.in + rea#i0a e# comando ba%h ,ue %e #e pa%a como par/metro* + t!i%t (recha0a #a cone.in + rea#i0a e# comando ba%h*"
accin
A #o% comando% %e #e% pueden pa%ar par/metro% re#acionado% con #a cone.in3 e%to% %on U Sa3 Sc3 Sh + Sn nombre de #a m/,uina ,ue intenta acceder" U Sd demonio ,ue contro#a e# puerto por e# ,ue accede" U Sp PID de# proce%o ,ue contro#a #a cone.in" Con e%to +a podemo% hacer nue%tra primera con&iguracin %uper%egura W/etc/ho%t%"a##o! ALL ALL den+ http //!!!"codigo#ibre"org $B?
Antonio Perpian
4# primer archi-o ,ue %e mira e% ho%t%"a##o! por #o ,ue en e%te ca%o no importa #o ,ue ponga en ho%t%"den+3 por,ue toda% #a% cone.ione% %e recha0an de toda% &orma%" E5e&/0,#: Como me7or %e aprende e% -iendo a#guno% e7emp#o%" De m/% %enci##o% (+ por #o tanto cerrado%* a m/% comp#icado% (m/% 2ti#e%3 di-ertido% + pe#igro%o%* Comp#etamente cerrado W/etc/ho%t%"a##o! ALL ALL den+ Cerrado para todo% e.cepto para #a% cone.ione% #oca#e% W/etc/ho%t%"a##o! ALL $;A"G"G"$ ALL ALL den+ Cone.in #oca# tota#3 red #oca# acce%o por te#net + &tp3 re%to cerrado W/etc/ho%t%"a##o! ALL $;A"G"G"$ in"te#netd in"&tpd LOCAL ALL ALL den+ 1i%tema cerrado con in&orme de acce%o% W/etc/ho%t%"a##o! ALL ALL t!i%t ( /u%r/bin/echo >e TIntru%o Sa en puerto SdT * 1i%tema abierto a #a red #oca# + cerrado a# e.terior con accione% di&erente% en &uncin de# tipo de acce%o W/etc/ho%t%"a##o! ALL LOCAL %pa!n ( echo >e TAcce%o autori0ado de Sa por SdT * V ALL PA8ANOID t!i%t ( echo >e n TA)ACAN)4 Sa por puerto Sd3 #an0ando nu6e%T I n /u%r/#oca#/bin/nu6e%"%h Sa * V ALL UN\NO<N t!i%t ( echo >e TPo%ib#e nu6e o %can de Sa en SdT * V ALL ALL t!i%t ( /bin/echo >e TIN)8U1Oj Sa3 u%ando puerto SdT * V L(&(!")(, e# +e0 TCP Wr"//er 4%te %i%tema aun,ue e% mu+ &/ci# e intuiti-o tiene a#guna% #imitacione%3 a#guna% %enci##a% de %o#ucionar otra% no tanto 1o#o cubre %er-icio% de&inido% en #o% archi-o% de .inetd"d por e7emp#o no in&orma de ning2n intento de acce%o por e# puerto de# BG3 Net:U1 """ ni otro% %er-icio% como impre%ora% o e# X ,ue no u%an Xinetd para con&igurar %u% cone.ione%" No detecta a#guno% tipo% de cone.in por e7emp#o #o% ping%3 a#guno% %tea#th %can3 #a %o#ucin e% u%ar a#g2n %i%tema para e%cuchar m/% e%pecia#i0ado3 como tcpdump" La% #'nea% de #o% archi-o% ho%t%"a##o! + ho%t%"den+ no deben contener %a#to% de #'nea o u%a% un editor ,ue no rompa #a% #'nea% #arga% o ,ue co#oca una barra in-ertida (n* ante% de cada %a#to de #'nea" U#,# "A" 6"+,# +e !)/RMr"//er# De!e)!" +, #/,,'( g: #o% intento% de %poo&ing %on detectado% por tcpg!rapper% + #o% c#a%i&ica dentro de #a categor'a de PA8ANOID3 por #o ,ue e%ta #'nea en ho%t%"a##o! puede a+udarno% ba%tante a detectar#o ALL: PARANOID: t!i%t ( echo >e T1poo&ing en puerto Sd nnLa IP Sa e% &a#%aT * M" !e er ( ',r&e# +e re+: redirigir toda #a in&ormacin de %a#ida a un archi-o o una con%o#a3 no% a+udar/ a tener in&orme% e.hau%ti-o% de #o% acce%o% ,ue recibimo%3 #o% ata,ue%3 #o% acce%o%3 para hacer e%to ba%ta con http //!!!"codigo#ibre"org $B@
Antonio Perpian
poner #'nea% a%' ALL ALL %pa!n ( echo >e TIP Sa en SdT c /-ar/#og/archi-o * Re"0(6"r &u0!(/0e# ),&" +,#: a -ece% e% nece%ario hacer m/% de una co%a &rente un acce%o3 #a %inta.i% e% igua# ,ue %i #o hicieramo% de%de ba%h ALL ALL %pa!n ( echo >e TIP Sa en SdT I !a-p#a+ a#arma"!a- I ne%tea Sa * E A(" +, &e #"5e# "0 #(#!e&" re&,!,: %e puede en-iar un men%a7eprede&inido (banner* a# %i%tema remoto3 en e%te men%a7e podemo% e.p#icar por,ue no #e damo% acce%o3 ,ue tipo de m/,uina tnemo%3 ,ue puede hacer o no3 para ,ue e# %i%tema remoto -ea e# banner uti#i0aremo% #a #'nea ALL ALL banner% /directoriogdegbanner% Nota e# banner debe ##amar%e como e# demonio ,ue %e #an0a3 e% decir %i ,ueremo% ,ue %e -ea un men%a7e a# entrar por te#net3 e# banner debera ##amr%e in"te#netd" 47emp#o e%te banner (a# ,ue ##amaremo% in"te#netd* %e -e a# hacer acce%o por te#net" 9o#a Sa3 bien-enido a mi %i%tema" )u IP e%ta %iendo guardada para ma+or %eguridad" K/% in&ormacin en /u%r/doc/tcpg!rapper%>.". 47ercicio H>; Con&igurar Xinetd 4n e%te e7ercicio con&iguraremo% e# %uper %er-idor de inetd para agregar un %er-icio" La% %o#ucione% a e%te e7ercicio %e encuentran en e# Ap5ndice A" $"> Cree un archi-o /etc/#oca#/%bin/&ingerd3 ,ue contenga #a% %iguiente% #'nea% Wj/bin/%h echo LLa In&ormacin de# Finger no e%ta Di%ponib#e en e%te 1i%temaM ;"> Con-ierta e# archi-o /etc/#oca#/%bin/&ingerd en e7ecutab#e" ?"> 4dite e# archi-o .inetd"d para comentar cua#,uier %er-icio de &inger" Agregue #a %iguiente #'nea &inger %tream tcp no!ait nobod+ /u%r/#oca#/%bin/&ingerd" @"> Ob#igue e# daemon de .inetd a #eer %u archi-o de con&iguracin" J"> Pruebe e# %er-icio de &inger en e# %i%tema" H"> De%habi#ite e# %er-icio de &inger en e# archi-o dinetd"d" A"> Ob#igue e# daemon de inetd a #eer %u archi-o de con&iguracin" B"> Pruebe nue-amente e# %er-icio de &inger en e# %i%tema" ASEGURAR EMAIL P4NDI4N)4 PO1)FIX A0gu ,# ,!r,# MTAc# +(#/, (40e# /"r" GNU/L( u%: U Po%t&i. Poco ma#o %e puede decir de 5#I di%eado para %er %eguro(modu#ar*3 e&iciente3 &/ci# de con&igurar + %endmai#>compatib#e" No ob%tante3 con meno% T&eature%T ,ue %endmai#" U Dmai# Ca%i todo #o ,ue %e ap#ica a Po%t&i. %e puede decir de Dmai#" Ku+ %eguro3 mu+ e&iciente3 mu+ modu#ar + con meno% T&eature%T(a#guna% e%t/n di%ponib#e% mediante parche%* + poco o nada %endmai#> compatib#e" A#guna% pega% pueden %er #a #icencia + ,ue e# de%arro##o parece parado" U 4.im A# igua# ,ue %endmai#3 e% un %o&t!are mono#'tico3 #o ,ue #o hace no tan %eguro + r/pido como #o% do% anteriore%" Por contra tiene un ma+or n2mero de caracter'%tica% ,ue a,ue##o%" 4% m/% %enci##o de con&igurar ,ue 1endmai# + ba%tante compatib#e con 5#" U bmai#er 4n rea#idad 5%te e% un de%conocido3 + #o meto a,u' por,ue recuerdo haber #e'do por ah' ,ue era una buena opcin" :uen rendimiento + madure03 + cierta di&icu#tad de admini%tracin""" poco e% #o ,ue puedo decir" Lo meto m/% por curio%idad per%ona#3 ,ue por,ue %ea una a#ternati-a popu#ar"
$BJ
Antonio Perpian
ASEGURAR HTTPD >APACHE? 4# n2mero de %er-icio% + ap#icacione% con tone#ada% de caracter'%tica% o&recida% en #a <eb ho+ d'a %on inmen%a + han contribuido inmen%amente a# crecimiento + #a popu#aridad de# Internet" Pero3 como %iempre3 toda% e%ta% caracter'%tica% tambi5n han a+udado a pre%entar mucha% po%ibi#idade% para ,ue nue%tro% %i%tema% %ean comprometido% de%de e# punto de -i%ta de %eguridad" 4% de mucha importancia ,ue #o% admini%tradore% entiendan e%ta% po%ibi#idade% de pe#igro ,ue %e #e pre%entan para comprometer #a %eguridad de #o% %i%tema% ,ue e##o% reguardan + a%' tomen accin para pre-enir ,ue %ean b#anco de e%to% po%ib#e% ata,ue%" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin 4ncriptacin de <eb 1er-er 11L (1ecure 1oc6et La+er* 19))P A%egurar e# Apache chroot en un Ambiente <eb Autenti&icacin KDJ 4# 1er-idor <eb 4.i%ten %itio% <eb de admini%tracin con in&ormacin con&idencia# %obre dato% de per%ona#3 nmina%3 etc" 8e%u#ta e-idente ,ue no intere%a ,ue e%a in&ormacin %ea acce%ib#e a toda #a 8ed3 %ino %#o a un pe,ueo n2mero autori0ado de u%uario%" Por #o tanto3 no -a#e con re%tringir e# acce%o mediante c#a-e% de acce%o o procedimiento% %imi#are%3 adem/% #a in&ormacin ,ue -ia7a hacia e%o% u%uario% debe ir ci&rada3 para e-itar e%cucha%" 4n e# otro e.tremo3 a menudo en-iamo% a un %er-idor in&ormacin con&idencia# %obre nue%tra per%ona3 por e7emp#o en #o% &ormu#ario% CGI" No% intere%a ,ue e# %er-idor cono0ca #o% dato%3 pero no e# re%to de #a 8ed3 e%pecia#mente %i e%tamo% rea#i0ando una tran%accin comercia# e#ectrnica + re-e#amo% nue%tro n2mero de tar7eta de cr5dito o %imp#emente nue%tra direccin po%ta#" 4n e%to% do% e7emp#o% %e pone de mani&ie%to #a nece%idad de a%egurar mediante a#g2n mecani%mo #a intimidad + #a integridad en #a% %e%ione% con e# %er-idor <eb" A decir -erdad3 re%u#ta impo%ib#e garanti0ar a# $GGS #a %eguridad de un %itio3 pero cuanto m/% %eguro% %ean nue%tra red + %er-idore%3 meno% probab#e %er/ ,ue un crac6er intente atacarno%" Se)ure S,)De! L"-er >SSL? 4# protoco#o 11L e% un %i%tema di%eado + propue%to por Net%cape Communication% Corporation" 1e encuentra en #a pi#a O1I entre #o% ni-e#e% de )CP/IP + de #o% protoco#o% 9))P3 F)P3 1K)P3 etc" Proporciona %u% %er-icio% de %eguridad ci&rando #o% dato% intercambiado% entre e# %er-idor + e# c#iente con un a#goritmo de ci&rado %im5trico3 t'picamente e# 8C@ o ID4A3 + ci&rando #a c#a-e de %e%in de 8C@ o ID4A mediante un a#goritmo de ci&rado de c#a-e p2b#ica3 t'picamente e# 81A" La c#a-e de %e%in e% #a ,ue %e uti#i0a para ci&rar #o% dato% ,ue -ienen de# + -an a# %er-idor %eguro" 1e genera una c#a-e de %e%in di%tinta para cada tran%accin3 #o cua# permite ,ue aun,ue %ea re-entada por un atacante en una tran%accin dada3 no %ir-a para de%ci&rar &utura% tran%accione%" KDJ %e u%a como a#goritmo de ha%h" Proporciona ci&rado de dato%3 autenticacin de %er-idore%3 integridad de men%a7e% +3 opciona#mente3 autenticacin de c#iente para cone.ione% )CP/IP" Cuando e# c#iente pide a# %er-idor %eguro una comunicacin %egura3 e# %er-idor abre un puerto ci&rado3 ge%tionado por un %o&t!are ##amado Protoco#o 11L 8ecord3 %ituado encima de )CP" 1er/ e# %o&t!are de a#to ni-e#3 Protoco#o 11L 9and%ha6e3 ,uien uti#ice e# Protoco#o 11L 8ecord http //!!!"codigo#ibre"org $BH
Antonio Perpian + e# puerto abierto para comunicar%e de &orma %egura con e# c#iente"
E0 Pr,!,),0, SSL H" +#G"De Durante e# protoco#o 11L 9and%ha6e3 e# c#iente + e# %er-idor intercambian una %erie de men%a7e% para negociar #a% me7ora% de %eguridad" 4%te protoco#o %igue #a% %iguiente% %ei% &a%e% (de manera mu+ re%umida* La &a%e 9o#a3 u%ada para poner%e de acuerdo %obre e# con7unto de a#goritmo% para mantener #a intimidad + para #a autenticacin" La &a%e de intercambio de c#a-e%3 en #a ,ue intercambia in&ormacin %obre #a% c#a-e%3 de modo ,ue a# &ina# amba% parte% comparten una c#a-e mae%tra" La &a%e de produccin de c#a-e de %e%in3 ,ue %er/ #a u%ada para ci&rar #o% dato% intercambiado%" La &a%e de -eri&icacin de# %er-idor3 pre%ente %#o cuando %e u%a 81A como a#goritmo de intercambio de c#a-e%3 + %ir-e para ,ue e# c#iente autenti,ue a# %er-idor" La &a%e de autenticacin de# c#iente3 en #a ,ue e# %er-idor %o#icita a# c#iente un certi&icado X"JGO (%i e% nece%aria #a autenticacin de c#iente*" Por 2#timo3 #a &a%e de &in3 ,ue indica ,ue +a %e puede comen0ar #a %e%in %egura" E0 Pr,!,),0, SSL Re),r+ 4# Protoco#o 11L 8ecord e%peci&ica #a &orma de encap%u#ar #o% dato% tran%mitido% + recibido%" La porcin de dato% de# protoco#o tiene tre% componente% KAC>DA)A3 e# cdigo de autenticacin de# men%a7e" AC)UAL>DA)A3 #o% dato% de ap#icacin a tran%mitir" PADDING>DA)A3 #o% dato% re,uerido% para re##enar e# men%a7e cuando %e u%a ci&rado en b#o,ue" Se)ure H-/erTe%! Tr" #'er Pr,!,),0 >S$HTTP? 4# protoco#o 1>9))P &ue de%arro##ado por 4nterpri%e Integration )ecno#og'a% (4I)*" A# igua# ,ue 11L3 permite tanto e# ci&rado como #a autenticacin digita#" 1in embargo3 a di&erencia de 11L3 19))P e% un protoco#o de ni-e# de ap#icacin3 e% decir3 ,ue e.tiende e# protoco#o 9))P por deba7o" La propue%ta de 1>9))P %ugiere una nue-a e.ten%in para #o% documento%3 "%http3 + e# %iguiente nue-o protoco#o Se)ure b Se)ure$HTTP/1I1 U%ando G4)3 un c#iente %o#icita un documento3 #e dice a# %er-idor ,u5 tipo de ci&rado puede mane7ar + #e dice tambi5n dnde puede encontrar %u c#a-e p2b#ica" 1i e# u%uario con e%a c#a-e e%t/ autori0ado a acceder a# documento3 e# %er-idor re%ponde ci&rando e# documento + en-i/ndo%e#o a# c#iente3 ,ue u%ar/ %u c#a-e %ecreta para de%ci&rar#o + mo%tr/r%e#o a# u%uario" La% negociacione% entre e# c#iente + e# %er-idor tienen #ugar intercambiando dato% &ormateado%" 4%to% dato% inc#u+en una -ariedad de opcione% de %eguridad + a#goritmo% a uti#i0ar" La% #'nea% u%ada% en #a% cabecera% inc#u+en Dominio% pri-ado% 1>9))P3 ,ue e%peci&ica #a c#a%e de a#goritmo% de ci&rado a%' como #a &orma de encap%u#amiento de #o% dato% (P4K o P\C1>A*" )ipo% de certi&icado 1>9))P3 ,ue e%peci&ica e# &ormato de certi&icado aceptab#e3 actua#mente X"JGO" A#goritmo% de intercambio de c#a-e 1>9))P3 ,ue indica #o% a#goritmo% ,ue %e u%ar/n para e# intercambio de c#a-e% (81A3 &uera de bando3 dentro de banda + \rb*" A#goritmo% de &irma% 1>9))P3 ,ue e%peci&ica e# a#goritmo para #a &irma digita# (81A o NI1)>D11*" A#goritmo% de re%umen de men%a7e 1>9))P3 ,ue identi&ica e# a#goritmo para proporcionar #a integridad http //!!!"codigo#ibre"org $BA
Antonio Perpian
de #o% dato% u%ando &uncione% de ha%h (81A>KD;3 81A>KDJ o NI1)>191*" A#goritmo% de contenido %im5trico 1>9))P3 ,ue e%peci&ica e# a#goritmo %im5trico de ci&rado en b#o,ue u%ado para ci&rar #o% dato% D41>C:C D41>4D4>C:C D41>4D4?>C:C D41X>C:C ID4A>CF: 8C;>C:C 8C@ CDKF A#goritmo% de cabecera %im5trica de 1>9))P3 ,ue proporciona una #i%ta de# ci&rado de c#a-e %im5trica uti#i0ada para ci&rar #a% cabecera%" D41>4C: D41>4D4>4C: D41>4D4?>4C: D41X>4C: ID4A>4C: 8C;>4C: CDKF>4C: Ke7ora% de #a intimidad de 1>9))P3 ,ue e%peci&ica #a% me7ora% en #a intimidad a%ociada% con #o% men%a7e%3 como &irmar3 ci&rar o autenticar" Uno de #o% m5todo% de ci&rado di%ponib#e en 1>9))P e% e# popu#ar PGP" SSL A#I S$HTTP 1>9))P + 11L uti#i0an apro.imacione% di%tinta% con e# &in de proporcionar %er-icio% de %eguridad a #o% u%uario% de #a 8ed" 11L e7ecuta un protoco#o de negociacin para e%tab#ecer una cone.in %egura a ni-e# de %oc6et (nombre de m/,uina m/% puerto*" Lo% %er-icio% de %eguridad de 11L %on tran%parente% a# u%uario + a #a ap#icacin" Por %u parte3 #o% protoco#o% 1>9))P e%t/n integrado% con 9))P" A,u'3 #o% %er-icio% de %eguridad %e negocian a tra-5% de #a% cabecera% + atributo% de #a p/gina" Por #o tanto3 #o% %er-icio% de 1>9))P e%t/n di%ponib#e% %#o para #a% cone.ione% de 9))P" Dado ,ue 11L %e integra en #a capa de %oc6et%3 tambi5n permite %er u%ado por otro% protoco#o% adem/% de# 9))P3 mientra% ,ue e# 1>9))P e%t/ concebido para %er u%ado e.c#u%i-amente en comunicacione% 9))P" A#egur"r e0 A/")Ge A%egurar e# Apache no debe %er en rea#idad una tarea dema%iada di&'ci#" Por de&ecto Apache %e e7ecuta como e# u%uario qnobod+p3 #o cua# #e da mu+ poco acce%o a# %i%tema3 + por #o genera# e# e,uipo Apache ha hecho un buen traba7o e-itando de%bordamiento% de pi#a/etc" 4n genera#3 #a ma+or'a de #o% %er-idore% <<< %imp#emente toman dato% de# %i%tema + #o% en-'an &uera3 #o% ma+ore% pe#igro% no -ienen de# Apache %ino de programa% de%cuidado% ,ue %e e7ecutan -'a Apache (CGIp%3 %er-er %ide inc#ude%3 etc"*" )Gr,,! e u A&4(e !e We4 http //!!!"codigo#ibre"org $BB
Antonio Perpian
1i %e ,uiere %er paranoico3 %ugerir'a e7ecutar Apache en un entorno de chroot" :/%icamente chroot rede&ine e# uni-er%o para un programa3 atrapando#o ahi dentro en %u propio %i%tema de archi-o%" Lo ,ue en e&ecto hace e% ,ue rede&ine e# directorio ra'0 o L/M para un programa o o %er-icio" Dicho %imp#emente todo #o ,ue e%t5 &uera de# directorio en e# ,ue u%amo% chroot no e.i%te para e# programa o e# %he##" 4%to e% 2ti# por,ue %i a#guien entra %in autori0acin en nue%tro computador3 no %er/ capa0 de -er todo% #o% archi-o% de nue%tro %i%tema" Pero e%to no ,uiere decir ,ue Apache %er/ ma% %eguro3 %ino ,ue %i a#guien #ogra -io#ar#o e%tar/ contenido dentro de# chroot ,ue creamo%" Due e# crac6er no pueda %er capa0 de -er nue%tro% archi-o% #o #imita a #o% comando% ,ue puede #e hagamo% di%ponib#e para uti#i0ar + tampoco #e permite e.p#otar otro% archi-o% + carpeta% de nue%tro %i%tema" 4# 2nico incon-eniente3 adem/% de ,ue e% ma% di&'ci# de in%ta#ar3 e% ,ue no impide mirar en #a% cone.ione% de red + en otra% co%a%" Por tanto3 tendr'amo% ,ue hacer a#guna% co%a% m/% ,ue no trataremo% a &ondo +a ,ue %er'an me7or conocida% en #ibro% e%pecia#i0ado% de Apache + %u admini%tracin" Otra% co%a% adiciona#e%3 adem/% de# chroot ,ue podemo% poner en practica para a%egurar Apache %on A%egurar #o% puerto% de red" )ener todo% #o% %er-icio% corriendo como un %er-icio ba7o una cuenta ,ue no %ea #a de root" Adem/%3 tener todo% #o% %er-icio% con chroot" )ran%&erir #o% #og% de %i%tema a otra m/,uina" Ana#i0ar #o% archi-o% de #og" Ana#i0ar intento% de deteccin a#eatoria de puerto% en nue%tro computador" Limitar #o% recur%o% de cpu + de memoria para un %er-icio" Acti-ar cuota% para #a% cuenta% de u%uario" Para puntua#i0ar chroot e% una #'nea ma% de de&en%a por,ue %i a#guien #ogra entrar con una cuenta %in pri-i#egio%3 + no habr/ po%ibi#idade% a e%tab#ecer como root3 entonce% %#o puede daar e# /rea a# ,ue ha accedido" Adem/%3 inc#u%o %i e# /rea a# ,ue hubiera accedido &uera propiedad de #a cuenta de root3 tendr'a meno% po%ibi#idade% para e# ata,ue" Ob-iamente3 ha+ a#go errneo %i a#guien tiene #a po%ibi#idad de introducir%e con nue%tra cuenta3 pero e%t/ bien %er capa0 de #imitar e# dao ,ue puede hacer" H")(e +, )Gr,,! " A/")Ge 4% mu+ %enci##o" Una -e0 ,ue #o con&igure3 pude e7ecutar %cript% Per#" Ahora mi archi-o de con&iguracin e% m/% bien grande por,ue he tenido ,ue inc#uir Per# + #a% #ibrer'a% Po%tgre1DL en e# /rea con chroot" A#go a tener en cuenta3 %i no% e%tamo% conectando a una ba%e de dato%3 debemo% a%egurar ,ue nue%tro %er-icio de ba%e de dato% e%t/ corriendo en e# di%po%iti-o de #oopbac6 $;A"G"G"$ + e%peci&icar ,ue e# ho%t e% $;A"G"G"$ en nue%tro% %cript% Per# para e# mdu#o D:I" A,u' ha+ un e7emp#o de cmo conectar%e a #a ba%e de dato% u%ando cone.in per%i%tente en apache Ahora3 %#o ha+ ,ue ir a http //$;A"G"G"$/%er-er>%tatu% o http //$;A"G"G"$/%er-er>in&o de%de nue%tro na-e> gador + comprobar ,ue &unciona" C, '(gur")(* +e A/")Ge 4n cuanto a #a &orma m/% %imp#e de a%egurar Apache + a%egurar%e de ,ue no tiene acce%o innece%ario a# %i%tema de archi-o% e% crear un directorio /-ar/!!!/ o a#go %imi#ar3 + %ituar por ah' deba7o )ODO1 #o% %itio% !eb3 contenido !eb3 cgip%3 etc" De%pu5% %#o e% nece%ario con&igurar acce%%"con& para ,ue deniegue e# acce%o a / 3 + %e #o permita a /-ar/!!!/ + %u% -ario% directorio% cgi>bin" Pero un buen art'cu#o de e%to e%ta en #a p/gina de #inu."com (http //!!!"#inu."com/archi-e/&eed/?H??$* donde te en%ean de%de cero como preparar un chroot"
$BO
Antonio Perpian
C, !r,0 +e A))e#,# )ambi5n %e puede contro#ar e# acce%o a #o% directorio%3 e# Apache %oporta #a de&inicin + #oca#i0acin de archi-o%" 4%to% archi-o% %e ##aman htacce%% + %e u%an para contro#ar e# acce%o ba%ado en nombre de u%uario + contra%ea3 e# IP de origen3 etc" 4%to %e de&ine en %rm"con& A))e##N,&4re$+e$Ar)G(A, IG!"))e## 4# &ormato de# e%te archi-o %e e.p#ica en #a documentacin de Apache3 + e% id5ntico a directi-a% ,ue %e co#ocar'an en acce%%"con&" La autenti&icacin de u%uario -'a nombre de u%uario + contra%ea tambi5n -ien de%arro##ada en pro&undidad en http //!!!"apache!ee6"com/&eature%/u%erauth/" )ambi5n ,uerr/% e-itar ,ue #a gente -ea #o% archi-o% "htacce%%" A/")Ge ), e%!e #(, e# SSL La autenticacin con 11L e% una e.ten%in de# Apache ,ue autom/ticamente ingre%a a #o% u%uario% a# %itio e7ecutado por e# Apache" 4%te uti#i0a a modg%%# en e# Apache para bu%car en e# certi&icado de# c#iente e# DN (Nombre Di%tinguido3 nombre de# u%uario o e,uipo*3 todo% #o% u%uario% deberan pre%entar e# certi&icado ,ue e% otorgado por un tercero3 #a Certi&icate Authorit+ o CA" 4.i%ten di&erente% a#ternati-a% gratuita% a# Apache con 11L3 + -aria% comercia#e%" A#guna% de #a% #ibre% %on OpenCA + Cacert"org" Otra %o#ucin ,ue puede in-e%tigar e% Apacheg11L" Cre"r u Cer!('()"+, 4%ta e% #a parte &/ci#3 e# %iguiente pa%o e% crear e# con7unto de ##a-e%3 + de%pu5% con&igurar e# httpd"con& para uti#i0ar#o correctamente" :u%ca dnde e%t/ in%ta#ado e# Topen%%#T + a%eg2rate de ,ue e%t/ en e# path3 de%pu5% ha0 un cd a##' donde ,uiera ,ue tenga% ubicado% tu% archi-o% de con&iguracin de# Apache (cua#,uiera ,ue &ue%e e# pre&i7o como e# ra'0 de Apache %eguido de /con&*" 1i %e nece%ita crear un certi&icado de prueba3 para u%o interno3 %e puede hacer U" !, (,X0,)"0G,#! [VQ ,/e ##0 ge r#" $+e#E Y G!!/#+IDeU" !, (,X0,)"0G,#! [VQ ,/e ##0 re. $ eM $De- G!!/#+IDe- Y G!!/#+I)#r Lo% na-egadore% %e ,ue7an %obre e%te certi&icado3 pue%to ,ue e%t/ creado por #a per%ona ,ue #o &irma3 + no %on &iab#e%" 1i ,uiere% generar un certi&icado3 + una peticin de certi&icado para en-iar a a#guien como OpenCA o =eri%ign3 entonce% ha+ ,ue hacer #o mi%mo entonce% en-iar#o a e##o% para ,ue %ea un tercero ,ue #o autorice" Au!e !()")(* MDJ 1i un admini%trador decide ,ue #a autenticacin b/%ica de# 9))P no e% %u&icientemente %egura3 e# puede u%ar #a autenticacin KDJ (Ke%%age Dige%t J*" Cuando un archi-o e% proce%ado con e# a#goritmo KDJ %e produce una hue##a digita# de ?; caractere%" Lo% chance% de ,ue do% men%a7e% produ0can #a% mi%ma% hue##a% e% computaciona#mente impo%ib#e" Aun,ue e# KDJ e% u%ado ma+ormente para -eri&icar #a integridad de #o% archi-o%3 Apache tiene %oporte interno para e# KDJ como una medida a#ternati-a m/% %egura para #a autenticacin b/%ica" Kientra% u%amo% autenticacin KDJ3 #a tran%mi%in de# nombre de u%uario + #a% contra%ea% %on encriptada%" Agreg"r Au!e !()")(* MDJ u#" +, G!+(ge#! Podemo% agregar autenticacin KDJ para proteger e# /rbo# de# directorio !eb u%ando #a herramienta htdige%t para pro-eer un ni-e# m/% a#to de %eguridad ,ue #a autenticacin b/%ica" 4# htdige%t traba7a mu+ parecido a# htpa%%!d" Para agregar %oporte KDJ para #a cuenta de# u%uario migue#3 primero e# admini%trador nece%ita crear una nue-a ba%e de dato% dige%t u%ando #a opcin >c Z G!+(ge#! $) IG!+(ge#! SM(gue0(!,T &(gue0 LKigue#itoM &ue ingre%ado para %er como e% conocido e# rea#m" 4# rea#m e% #o mi%mo como &ue ingre%ado en http //!!!"codigo#ibre"org $OG
Antonio Perpian
#a directi-a AuthName en e# archi-o "htacce%" Luego #a con&iguracin de "htacce% debe %er corregida" La directi-a AuthDige%tFi#e debe %er agregada para %ea#ar a #a #oca#i0acin de# archi-o "htdige%t Au!GD(ge#!2(0e /G,&e/&(gue0//u40()RG!&0/IG!+(ge#! Por 2#timo #a opcin de# tipo de autenticacin3 Auth)+pe3 debe %er cambiada en e# archi-o "htacce% para ,ue u%e autenticacin ba%ada en Dige%t" 4%to e% #o ,ue debe cambiar Auth)+pe :a%ic Debe %er cambiado a Auth)+pe Dige%t Ahora #a autenticacin KDJ %er/ u%ada en -e0 de #a autenticacin b/%ica de 9))P + e# tr/&ico entre e# c#iente + e# %er-idor !eb %er/ encriptado" A#egur" +, 2TP La manera de ma% %imp#e de a%egurar un 1er-idor F)P e% a tra-5% de un tunne# %%# o -'a %%h3 %ino #a otra &orma ,ue +a hemo% di%cutido con e# Apache e% e# chroot para #imitar #o% archi-o% + directorio% di%ponib#e% a #o% ,ue entren a# F)P" A# generar e# cambio de# directorio ra'0 de# F)P hacia e# directorio de #o% u%uario% &tp #o% u%uario% ,ue u%en e# F)P no %er/n capa0 -er otro directorio ,ue no %ea %u propio directorio" A#egur" +, ##G 1i por a#guna ra0n en %u %er-idor a2n e%t/n u%ando te#net + no %%h3 entonce% debe de inmediato e#iminar e%a practica + comen0ar a u%ar e# %%h" 4# %%h debe %er u%ado para toda% #a% entrada% remota% + nunca te#net" 4n una 5poca donde e% &/ci# hu%mear e# tr/&ico de Internet + obtener contra%ea% en te.to p#ano3 debe u%ar %#o protoco#o% ,ue u%en criptogra&'a" Para in%ta#ar#o en %u Fedora3 e# c#iente -iene por de&ecto pero e# %er-er %i in%ta#a con un %imp#e +um in%ta## %%h" A#egur"r N2S NF1 traba7a mu+ bien compartiendo %i%tema% de archi-o% entero% con un gran n2mero de m/,uina% conocida% de una manera mu+ tra%parente" Kucho% u%uario% ,ue acceden a archi-o% %obre un punto de monta7e NF1 pueden no e%tar atento% a ,ue e# %i%tema de archi-o% ,ue e%t/n u%ando no e%t/ en %u %i%tema #oca#" 1in embargo3 e%ta &aci#idad de u%o trae una -ariedad de potencia#e% prob#ema% de %eguridad" Lo% %iguiente% punto% deben con%iderar%e cuando e.portamo% un %i%tema de archi-o% NF1 en un %er-idor o #o montamo% en un c#iente" 9aciendo e%to minimi0amo% #o% rie%go% de %eguridad NF1 + me7oramo% #a proteccin de %u% dato% + e,uipamiento" A))e#, "0 S(#!e&" 4# NF1 contro#a ,uien puede montar + e.portar %i%tema% de archi-o% ba%ado% en #a m/,uina ,ue #o pide3 no en e# u%uario ,ue uti#i0ar/ e# %i%tema de archi-o%" La% m/,uina% tienen ,ue tener #o% derecho% para montar #o% %i%tema% de archi-o% e.portado% e.p#'citamente" 4# contro# de acce%o no e% po%ib#e para u%uario%3 aparte de #o% permi%o% de archi-o% + directorio%" 4n otra% pa#abra%3 cuando e.porta un %i%tema de archi-o% -'a NF1 a una m/,uina remota3 no %#o e%t/ con&iando en #a m/,uina a #a ,ue permite montar e# %i%tema de &ichero%3 tambi5n e%t/ permitiendo a cua#,uier u%uario ,ue acceda a e%a m/,uina ,ue u%e %u %i%tema de archi-o%" Lo% rie%go% de hacer e%to pueden contro#ar%e3 ta#e% como montar#o en %o#o #ectura o cambiar a #o% u%uario% a un ID com2n de u%uario + grupo3 pero e%ta% %o#ucione% impiden ,ue e# monta7e %ea u%ado de #a manera origina#mente pre-i%ta"
$O$
Antonio Perpian
Adiciona#mente3 %i un atacante gana e# contro# de# %er-idor D1N u%ado por e# %i%tema ,ue e.porta e# %i%tema de archi-o% NF13 e# %i%tema a%ociado con un nombre de m/,uina concreto o nombre de dominio tota#mente cua#i&icado3 puede %er dirigido a una m/,uina %in autori0acin" 4n e%te punto3 #a m/,uina de%autori0ada e% e# %i%tema ,ue tiene permitido montar #a comparticin NF13 +a ,ue no ha+ intercambio de in&ormacin de nombre de u%uario o contra%ea para proporciona# %eguridad adiciona# a# monta7e NF1" Lo% mi%mo% rie%go% corre e# %er-idor NI13 %i #o% nombre% de red NI1 %on u%ado% para permitir a cierta% m/,uina% montar una comparticin NF1" U%ando direccione% IP en /etc/e.port%3 e%ta c#a%e de ata,ue% %on m/% di&'ci#e%" Lo% comodine% o metacaractere% deben %er u%ado% #o meno% po%ib#e cuando garanti0amo% e# acce%o a una comparticin NF1" 4# u%o de #o% comodine% puede permitir e# acce%o a %i%tema% ,ue puede no %aber ,ue e.i%ten + ,ue no deber'an montar e# %i%tema de archi-o%" Permi%o% de archi-o% Una -e0 ,ue e# %i%tema de archi-o% e% montado como #ectura>e%critura por una m/,uina remota3 #a proteccin de cada archi-o compartida depende de %u% permi%o%3 + de# ID de %u u%uario + grupo propietario" 1i do% u%uario% ,ue comparten e# mi%mo -a#or ID montan e# mi%mo %i%tema de archi-o% NF13 %er/n capace% de modi&icar%e #o% archi-o% entre %'" Adem/%3 cua#,uiera ,ue e%t5 conectado como root en e# %i%tema c#iente3 puede u%ar e# comando %u para con-ertir%e en un u%uario ,ue tenga acce%o a determinado% archi-o% a tra-5% de #a comparticin NF1" 4# procedimiento predeterminado cuando e.portamo% un %i%tema de archi-o% a tra-5% de NF1 e% u%ar root %,ua%hing (%obreponer%e a root*" 4%to cambia e# ID de u%uario de cua#,uiera ,ue uti#ice #a comparticin NF13 aun,ue %ea e# root de %u m/,uina #oca#3 a# -a#or de #a cuenta nobod+ de# %er-idor" Nunca debe de%acti-ar#o a meno% ,ue no #e importe ,ue ha+a m2#tip#e% u%uario% con acce%o de root en %u %er-idor" 1i %#o e%t/ permitiendo a #o% u%uario% ,ue #ean archi-o% de %u comparticin NF13 deber'a con%iderar u%ar #a opcin a##g%,ua%h3 #a cua# hace ,ue todo% #o% u%uario% ,ue accedan a %u %i%tema de archi-o% e.portado tomen #a ID de# u%uario nobod+" RESUMEN 4n e%te cap'tu#o3 cubrimo% -ario% %er-icio% de red" 4ntre #o% punto% c#a-e% %e inc#u+en Lo% )CP <rapper% + e# inetd pro-een una capa adiciona# de %eguridad para #o% %er-icio% en e%pec'&ico% de# )CP/IP" Lo% %er-icio% ,ue no e%t5n en u%o deben %er de%acti-ado% en /etc/%er-ice% + en e# %i%tema de %cript% de inicio" Cada %er-icio3 como %on F)P3 9))P3 NF13 1K)P3 etc"3 tiene un archi-o de con&iguracin en e%pec'&ico #e permite contro# e# acce%o a# %er-icio" Dedicar %er-idore% indi-idua#e% a %er-icio% en e%pec'&ico e% una manera e&ecti-a de %egregar rie%go% + mantener #o% %er-icio% %eguro" P84GUN)A1 PO1) > 4XAK4N La% re%pue%ta% a e%ta% pregunta% e%t/n a# &ina# de e%te #ibro en e# Ap5ndice A $"> CPor ,u5 e% ,ue e% di&'ci# a%egurar un %er-idor de correoE ;"> CDu5 medida% deben %er tomada% para a%egurar un %er-idor de correoE http //!!!"codigo#ibre"org $O;
Antonio Perpian
?"> De%criba a%egurar #o% daemon% + #o% %er-icio% @"> CCmo e% ,ue e# Protoco#o 11L e&ect2a %u encriptacinE J"> CCmo puede e# admini%trador de %i%tema% a%egurar e# 1er-idor <eb contra po%ib#e ata,ue%E H"> CPor ,u5 debe u%ted %eparar #a% cuenta% de u%uario% de# F)P + #a% opcione% de acce%o de e%a% u%ada% para acce%ar #a <ebE
$O?
Antonio Perpian
ASEGURAR LA RED
TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin =u#nerabi#idade% de #a 8ed Concepto% de Fire!a## Pro.ie% + Gate!a+% Di%eo e Imp#ementacin de un Fire!a## =PN% (=irtua# Pri-ate Net!or6%* 8e%umen Pregunta% Po%t>4.amen No. ;JA ;JA ;HJ ?G? ?GB ?$J ?;G ??G ;BB ;BB
CAPITULO
OBJETIVOS:
Pregu !"# Pre$E%"&e 8e%pue%ta% a e%ta% pregunta% %e encuentran en e# Ap5ndice A" $"> Un &ire!a## e% %u medio primordia# para re&or0ar #a% po#'tica% de %eguridad de DEL SISTEMA OPERATIVO GNU/LINUX %u red" A# imp#emtar un &ire!a##3 u%ted debe con&igurar %u %eguridad + e%tab#ecer punto% de che,ueo CPara ,ue %on e%to% punto% de che,ueoE ;"> CCmo puede NA) (Net!or6 Addre%% )ran%#ation* pro-eer %eguridadE ?"> CCu/#e% %on #oa% -enta7a% de u%ar un %er-idor pro.+ como &ire!a## a# ni-e# de #a capa de ap#icacinE @"> CDu5 e% e# e# ho%t ba%tinE J"> CDu5 e% un DKb (Demi#itari0ed bone*E
U Li%te + deta##e #a% -u#nerabi#idade% m/% comune% de #a rede%3 en e%pec'&ico #o% ata,ue% Do1 (Denegacin de 1er-icio%* + IP %poo&ing" U Li%tar #o% punto% de importancia a# di%ear po#'tica% de %eguridad a%' como #a &uncin de e%te documento" U Li%tar #o% di&erente% tipo% de &ire!a##% di%ponib#e% + %u% -enta7a% + de%-enta7a%" U De&inir #o% t5rmino% comune% de #o% &ire!a##%" U De%cribir #o% cuatro tipo% de di%eo de %i%tema% de &ire!a##% + %u% grado% de %eguridad" U Imp#ementar un &ire!a## de &i#trado de pa,uete%" U De%cribir e# ro# de #o% iptab#e% a# re%tringir e# &#u7o de in&ormacin en una red" U De&inir e# u%o de #o% comando% net%tat + nmap para monitorear #o% %er-icio%" U De&inir #o% e#emento% c#a-e% en e# contro# de acce%o a #a redI de%cribir una =PN + e# &i#trado de pa,uete%" U De%cribir #a e%tructura + #o% e#emento% c#a-e de una =PNI de&inir #o% pa%o% para con&igurar una =PN" U De&inir e# ro# de# programa %tunne# para pre%er-ar #a pri-acidad de# correo + otro% tipo% de tra%mi%ione% %obre e# Internet" U Con&igurar un %er-idor de GNU/Linu. para ,ue %oporte IP1ec"
SEGURIDAD
$O@
Antonio Perpian
IN)8ODUCCION 9o+ en d'a a #a hora de a%egurar un %i%tema3 #a ma+or preocupacin #o m/% probab#e %ea %u red" La red permite a #o% u%uario% obtener in&ormacin en otro% %i%tema% + #e permite a otro% tener acce%o a #a in&ormacin en e# nue%tro" Pero3 debemo% contro#ar con mucho cuidado ,ue tipo de acce%o otorgamo% a e%to% u%uario% e.terno%" Debemo% adem/% a%egurarno% ,ue nue%tro %i%tema e%t/ #ibre de agu7ero% de %eguridad ,ue hacen a nue%tro% %i%tema% -u#nerab#e% a ata,ue%" La me7or manera de minimi0ar #o% rie%go% e% #imitando #o% %er-icio% di%ponib#e% + mantener%e in&ormado con #o% recur%o% de in&ormacin di%ponib#e% en #a <eb" 4n e%te cap'tu#o3 e.p#oraremo% manera% de #imitar e# acce%o #a red u%ando inetd + &ire!a##%" )ambi5n cubriremo% a#guno% recur%o% mu+ popu#are% ,ue %e encuentran en #a <eb" Vu0 er"4(0(+"+e# +e 0" Re+ La% -u#nerabi#idade% de #o% protoco#o% e7ecutando %obre e# Internet %e han con-ertido en ,ui0/% e# tema de ma+or importancia en #o% 2#timo% ao%" 4# %uite )CP/IP &ue di%eado cuando e# Internet era una pe,uea red con&ormada ma+ormente por Uni-er%idade%" Como e%to era una %ituacin ,ue %e podr'a con%iderar pri-ada3 %eguridad no era de mucha importancia" Con e# incremento en e# u%o de# Internet e% ,ue #a &a#ta de %eguridad inherente de# )CP/IP %e ha con-ertido en un prob#ema" 4n #a pr.ima -er%in de# IP3 e# IP-H %e tratar/ de en&rentar #a ma+or'a de #o% prob#ema% de %eguridad" Pero como no %e e%pera ,ue %e incremente e# u%o de# IP-H en #o% pr.imo ao%3 %ino ,ui0/% una d5cada ma%I e% e%encia# ,ue #o% admini%tradore% de rede% entiendan e%to% tipo% de ata,ue% ,ue pueden ocurrir en e# e%tado actua# de# Internet + e# u%o ca%i tota# de IP-@ + ,ue puedan pre-enir#o%" 4n e%ta %eccin di%cutiremo% #o% %iguiente% tema% Ata,ue% Do1 (Denia# o& 1er-ice* IP 1poo&ing Contro# de Acce%o a #a 8ed Po#'tica% de 8ed A!".ue# D,S >De eg")(* +e SerA()(,? Un ata,ue de denegacin de %er-icio e% un ata,ue a tra-5% de# cua# La#guienM puede hacer ,ue %u% %i%tema% %e detengan o con%umir todo% %u% recur%o%3 + de e%te modo denegar e# acce%o a u%uario% #eg'timo%" 4% mu+ parecido a# e&ecto de un tapn de tran%ito a #a% hora% pico" La ma+or'a de %i%tema% operati-o%3 router% + componente% de red ,ue deben proce%ar pa,uete% a cua#,uier ni-e#3 %on -u#nerab#e% a ata,ue% Do1" Para reducir e# impacto de un ata,ue Do1 ha+ ,ue e-a#uar cmo de -u#nerab#e %on %u% %i%tema%" 8e%tringir e# acce%o a cuenta% cr'tica%3 recur%o%3 archi-o% + proteger#o% en &rente de acce%o% no autori0ado% e% #a manera de minimi0ar #a ma+or'a de e%to% ata,ue%" SYN P")De! 20,,+( g >I u +")(* SYN? 4# protoco#o )CP %e ba%a en una cone.in en tre% pa%o%" 1i e# pa%o &ina# no ##ega a e%tab#ecer%e3 #a cone.in permanece en un e%tado denominado L%emiabiertoM" 4# 1+n F#ood e% e# m/% &amo%o de #o% ata,ue% de# tipo Denia# o& 1er-ice3 pub#icado por primera -e0 en #a re-i%ta Phrac6" 1e ba%a en un L%a#udoM incomp#eto entre #o% do% ho%t%" 4# C#iente en-'a un pa,uete 1dN pero no re%ponde a# pa,uete AC\ oca%ionando ,ue #a pi#a )CP/IP e%pere cierta cantidad de tiempo a ,ue e# ho%t ho%ti# re%ponda ante% de cerrar #a cone.in" 1i %e crean mucha% peticione% incomp#eta% de cone.in (no %e re%ponde a ninguna*3 e# 1er-idor e%tar/ inacti-o mucho tiempo e%perando re%pue%ta" 4%to oca%iona #a #entitud en #o% dem/% %er-icio%"
$OJ
Antonio Perpian
4# prob#ema e% ,ue mucho% %i%tema% operati-o% tienen un #'mite mu+ ba7o en e# n2mero de cone.ione% L%emiabierta%M ,ue pueden mane7ar en un momento determinado" 1i %e %upera e%e #'mite3 e# %er-idor %enci##amente de7ar/ de re%ponder a #a% nue-a% peticione% de cone.in ,ue #e -a+an ##egando" La% cone.ione% L%emiabierta%M -an caducando tra% un tiempo3 #iberando Lhueco%M para nue-a% cone.ione%3 pero mientra% e# atacante mantenga e# 1+n F#ood3 #a probabi#idad de ,ue una cone.in reci5n #iberada %ea capturada por un nue-o 1dN ma#icio%o e% mu+ a#ta" La potencia de e%te ata,ue re%ide en ,ue mucho% %i%tema% operati-o% &i7an un #'mite de# orden de J a ?G cone.ione% L%emiabierta%M3 + ,ue 5%ta% caducan a# cabo de un par de minuto%" Para mantener e# %er-idor &uera de %er-icio3 un atacante %#o nece%ita en-iar un pa,uete 1dN cada @ %egundo% (a#go a# a#cance de3 inc#u%o3 un mdem de ?GG baudio%*" 4%te ata,ue %ue#e combinar%e tambi5n con e# IP 1poo&ing3 de &orma de ocu#tar e# origen de# ata,ue" I u +")(* +e ICMP Parecido a# 1dN F#ood3 #a inundacin de eco de# ICKP o me7or conocido% como Ping F#ood%3 traba7a %obre cargando a una m/,uina ho%t con in&ormacin en dema%'a3 a%' #ogrando ,ue #a -e#ocidad de #a red %e redu0ca a ni-e#e% inaceptab#e%" 4%to% ata,ue% uti#i0an e# comando ping3 e# cua# u%a e# protoco#o ICKP" 4# comando ,ue por #o norma# e% u%ado para en-iar men%a7e% de prueba a una direccin IP de una m/,uina en e# Internet para -er %i e%t/ di%ponib#e" 1i e# ho%t e%t/ di%ponib#e re%ponder/" 4# ping puede %er u%ado como una herramienta podero%a para encontrar prob#ema% de ancho de banda + rede% en genera#3 pero de%a&ortunadamente tambi5n puede %er u%ado para cau%ar e%to% prob#ema%" 4# ata,ue ocurre cuando %e #e en-'a un n2mero de ping% a un ho%t a #a -e0" Por #o genera# %e uti#i0a cuando e# atacante tiene un ma+or ancho de banda ,ue e# e,uipo -ictima" De e%ta manera e# atacante puede en-iar m/% ping% ,ue #o% ,ue #a -ictima pude re%ponder" 1i %e u%a en combinacin con IP 1poo&ing no e% nece%ario ,ue e# atacante tenga un ma+or ancho de banda +a ,ue #a% re%pue%ta% nunca ##egar/n a %u de%tino" 4# IP 1poo&ing %e cubrir/ m/% ade#ante" PreAe )(* +e0 A!".ue D,S 4.i%ten -aria% medida% ,ue #o% admini%tradore% de rede% pueden tomar para #imitar #a po%ibi#idad de %er b#anco% de ata,ue% o %er u%ado% como puente% para ,ue ata,uen a otro% de%de %u% %er-idore%" Pero3 recuerde ,ue %i u%ted tiene ,ue e%tar conectado a# Internet nunca e%tar/ $GGS %eguro +a ,ue a#guna% de #a% -u#nerabi#idade% ,ue #o% crac6er% atacan %on debi#idade% ,ue %on parte &undamenta# de #a operacin de# Internet" Pero %i e% imperati-o ,ue #o% admini%tradore% hagan todo #o ,ue e%te a %u a#cance para pre-enir cua#,uier tipo de ata,ue" PreAe )(* "0 N(Ae0 +e0 E ru!"+,r >R,u!er? Una de #a% medida% m/% importante de# admini%trador de rede% e% denegar3 en e# ni-e# de enrutador3 tr/&ico %a#iente ,ue tienen una direccin de origen incorrecta" No e.i%te ra0n a#guna para ,ue un pa,uete %a#ga de una red con una direccin IP ,ue no %ea parte de e%a red" La &a#%i&icacin de direccione% IP e% parte e%encia# de# ata,ue 1mur& + #o con-ierte en ca%i impo%ib#e detectar de donde e# ata,ue %e origina" 4# &i#trado de tr/&ico %a#iente con direccione% de origen incorrecta debe e&ectuar%e en toda% #a% inter&ace% de %a#ida de #o% enrutadore%" da ,ue #o% ata,ue% 1dN no pueden %er detenido% con &aci#idad3 e% importante b#o,uear direccione% IP &a#%i&icada% de ,ue %a#gan de #a red" 4%to a+uda a poder detectar e# origen de #o% ata,ue%" 4# &i#trado de di&u%in o broadca%t dirigido e% tambi5n e%encia# para #a %eguridad de una red o una red ,ue actu/ como un intermediario en un ata,ue" A meno% ,ue e# admini%trador e%te $GGS %eguro ,ue e# &i#trado de broadca%t dirigido -a a inter&erir con #a acti-idad #egitima + cotidiana de #a red3 e%te tipo de &i#trado debe http //!!!"codigo#ibre"org $OH
Antonio Perpian
%iempre %er ##e-ado a cabo" 4%te tipo de tr/&ico debe %er b#o,ueado en toda% #a% inter&ace% entrante% en todo% #o% enrutadore% ,ue dan entrada a tr/&ico de%de e# Internet" 1i un admini%trador de red #e ha dado %eguimiento a un ata,ue ICKP3 como e% e# Ping F#ood%3 puede ,ue %ea nece%ario b#o,uear todo e# tr/&ico ICKP a# ni-e# de# enrutador" Una de%-enta7a de e%ta medida e% ,ue #o% comando% dependiente de# ICKP como %on e# ping + traceroute no &uncionar/n" Pero3 e# ICKP no e% e%encia# para #a ma+or'a de #a% operacione% de #a red como e% e# 9))P3 F)P + 1K)P" PreAe )(* "0 N(Ae0 +e 0" MC.u( " 1i #a denegacin a# ni-e# de# enrutador de #o% broadca%t dirigido a IP o e# tr/&ico ICKP no puede %er e&ectuado3 ap#icar #a medida en cada ho%t e% otra opcin di%ponib#e" Cada ho%t puede %er con&igurado a no re%ponder a echo ICKP ,ue %on en-iado% a #a direccin de broadca%t" 1i e% nece%ario3 e# admini%trador de red deber/ con&igurar cada ho%t a ignorar todo e# tr/&ico ICKP" IP S/,,'( g 4# IP 1poo&ing e% e# proce%o de crear pa,uete% )CP ,ue contienen una direccin de origen &a#%i&icada" IP 1poo&ing a menudo e% u%ado para e%conder #a &uente u origen de un ata,ue Do1 u otro tipo de ata,ue% de red + para ad,uirir e# acce%o no autori0ado de un %i%tema ,ue uti#i0a autenti&icacin ba%ada en una direccin IP" 4# ahora &amo%o crac6er3 \e-in Kitnic63 u%o #a t5cnica de IP 1poo&ing para obtener acce%o a #a computadora de un e.perto o&icia# de %eguridad" Kitnic6 entro en e# ordenado de )%utomu 1himura3 e# cua# #uego a+udo a #a% autoridade% a traer a Kitnic6 ante #a 7u%ticia" Pero3 con e# u%o de IP 1poo&ing &ue di&'ci# #oca#i0ar a \e-in" La 2nica manera &/ci# de ubicar #a procedencia de un pa,uete e% por #a direccin de origen en e# cabe0a# de# pa,uete" Cuando e%te a %ido 1poo&ed3 #a 2nica manera de detectar e# origen e% mientra% e# ata,ue e%t/ %ucediendo" A!".ue S&ur' Un ata,ue 1mur& e% un ata,ue Do1 ,ue uti#i0a IP 1poo&ing" 4# ata,ue 1mur& &unciona dirigiendo ping &#ood% (inundacin de ping* con IP 1poo&ed a una direccin IP de broadca%t" La% direccione% IP de broadca%t %on #a% ,ue contienen todo% uno% o todo% cero% en #a porcin de# ho%t de #a direccin" Por e7emp#o3 para #a 8ed C#a%e C de $O;"$HB"$"G/;@3 #a direccin de broadca%t %er'a $O;"$HB"$";JJ" La% direccione% de broadca%t %on u%ada% para tran%mitir#e #a mi%ma in&ormacin a mucha% m/,uina%" 1i #a in&ormacin e% en-iada a #a direccin broadca%t3 entonce% %#o tendr/ ,ue %er en-iada una %o#a -e0 para ,ue #e ##egue a toda% #a% m/,uina con e%a direccin de broadca%t" A%' ,ue %i #e hace un IP 1poo&ing a #a direccin IP de #a -ictima3 una red por comp#eto e7ecutar/ un ping a# computador -ictima" 4%to% ata,ue% %on nombrado% por e# primer programa ,ue combino e%ta% -u#nerabi#idade%3 1KU8F" 9a+ tre% parte% in-o#ucrada% en e%te ata,ue e# atacante3 e# intermediario + #a -ictima" 4%te tipo de ata,ue ha %ido u%ado para tumbar grande% 1itio% <eb" Por #o genera# #o% atacante% bu%ca en e# Internet a rede% ,ue no tienen #o% broadca%t de IP dirigido% b#o,ueado% para tomar e%e ho%t como e# intermediario" Una -e0 %e ubica una red -u#nerab#e3 e# atacante &a#%i&ica #a direccin IP de retorno de un gran n2mero de ping% para ,ue e%to% pare0can ,ue &ueron en-iado% de%de #a -ictima" 4%to% ping% %on en-iado% a #a direccin broadca%t de #a red intermediaria" Una -e0 e# ping e% en-iado a #a direccin de broadca%t3 e%te e% en-iado a cada computador en #a red con e%a direccin" 4%a% m/,uina% entonce% en-'an una re%pue%ta de regre%o a #a -ictima por cada ping"I mientra% m/% m/,uina% e%t/n en #a mi%ma %ubnet3 m/% %e incrementa e# ata,ue" http //!!!"codigo#ibre"org $OA
Antonio Perpian
Un ping bogu% (di%&ra0ado* de%de un atacante puede potencia#mente con-ertir%e en ciento% + ha%ta mi#e% de re%pue%ta% en-iada% a #a -ictima" Por e%ta ra0n e% ,ue a -ece% e# intermediario e% ##amado e# amp#i&icador en un ata,ue de# tipo %mur&" 4# &i#trado de todo e# tr/&ico %a#iente con una direccin de origen incorrecta en toda% #a% inter&ace% %a#iente% de #o% enrutadore% -a a pre-enir ,ue #o% ,ue %e encuentran en #a red #oca# no puedan e&ectuar u %poo&ing de una direccin IP ,ue no e% parte de #a red #oca#" Adem/%3 #o% pa,uete% ,ue tienen una direccin de origen ,ue contiene IP% #oca#e% deben %er b#o,ueada% en #a% inter&ace% entrante% de #o% enrutadore%" 4%ta medida pre-iene ,ue cua#,uiera en e# Internet no pueda hacer e# %poo& de #o% IP% para aparentar ,ue proceden de%de #a red #oca#" C, !r,0 +e A))e#, " 0" Re+ 4% de %uma importancia ,ue #o% admini%tradore% de %i%tema% tengan un buen entendimiento de #a e%tructura de #a red3 ,uien tiene acce%o a #a red + como #imitar e%te acce%o cuando %ea apropiado" 1i un admini%trador de %i%tema &a##a en entender #a importancia de e%to3 #a red e.perimentar/ prob#ema% de -u#nerabi#idad" 9a%ta errata ,ue aparenta %er mu+ %imp#i%ta puede con-ertir%e o crear#e con%ecuencia% de%a%tro%a% para e# &uncionamiento de #a red + #a% rede% ,ue %e encuentran conectada% a e##a" 4.i%ten medida% ,ue #o% admini%tradore% de %i%tema% pueden imp#ementar para a%egura%e ,ue %u% rede% + #a data ,ue por e##a %e tran%miten e%t5n %egura% + ,ue %u red no %er/ u%ada como amp#i&icador en ata,ue% a otra% rede%" La imp#ementacin correcta de =PN%3 )CP !rapper% + &i#trado de pa,uete% pueden reducir e# rie%go de %eguridad inherente a conectar rede% pri-ada% a rede% pub#ica%" VPN# >V(r!u"0 Pr(A"!e Ne!M,rD#? La% =PN% %on apropiada% para toda organi0acin ,ue re,uiere acce%o e.terno %eguro a recur%o% interno%" Una =PN permite #a tran%mi%in %egura de tr/&ico pri-ado de%de un punto a otro %obre una red p2b#ica como #o e% Internet" La ar,uitectura =PN e% con%iderada -irtua# por,ue uti#i0a un t2ne# PPP dentro de un red p2b#ica + no e# a#,ui#er o compra de una #'nea pri-adaI no e.i%te ta# red pri-ada o &'%ica" Un =PN puede e.tender una red corporati-a a Internet + m/% a##/" 4%t/ imp#ementacione% pueden reducir %igni&icati-amente e# co%to de una red" Adem/% e#iminan e# co%to &i7o de# a#,ui#er de rede% pri-ada%3 #'nea% de dia#>up + un gran poo# de mdem%" #a admini%tracin co%to%a de e%to% e,uipo% + %er-icio% +a no %on nece%ario%" 4# emp#eado remoto o u%uario %e puede conectar %eguro %obre una #'nea de con%umo ma%i-o de# Internet" Una de%-enta7a de u%ar rede% p2b#ica% para &aci#itar rede% pri-ada% e% no poder mantener e# contro# de #a in&ormacin cuando pa%a %obre #a red p2b#ica" Lo% admini%tradore% de %i%tema% deben tener precaucin +a ,ue #a in&ormacin ,ue pa%a %obre un =PN puede %er acce%ada por a#guien ,ue traba7a o ,ue ha comprometido e# I1P ,ue u%amo% para &aci#itar e# =PN" )ambi5n debe cuidar%e de intru%o% a #a =PN mi%ma" Lo% =PN %oportan protoco#o% ,ue no% a%eguran #a pri-acidad de #a in&ormacin tran%mitida + ,ue %o#o #o% u%uario% autori0ado% e%t/n acce%ando #a red" Un =PN tiene tre% componente% b/%ico%I autenti&icacin3 encriptacin + t2ne#" Autenti&icacin e% e# proce%o de -a#idar un nombre de u%uario + una contra%ea" 4ncriptacin e% #a codi&icacin de# tr/&ico de #a red para enma%carar#o de un po%ib#e intru%o" )unne#ing (pa%ar por un t2ne# de protoco#o%* e% e# acto de e%tab#ecer una ruta cerrada para #a tran%mi%in de data entre do% punto% en una red" La data e% encap%u#ada en #a entrada de# t2ne# + e% de>encap%u#ada en #a %a#ida" Un =PN moderno %oporta todo% #a% tecno#og'a% comune% de encriptacin3 #a ma+or'a de protoco#o% de autenti&icacin como e% \erbero% o de &icha% (to6en%* + #o% principa#e% protoco#o% de tunne#ing como e% e# Protoco#o Punto>a>Punto de )2ne# (Point>to>Point )unne#ing Protoco# (PP)P**3 IP1ec (IP 1ecurit+* + L;)P (La+er ; )unne#ing Protoco#"
$OB
Antonio Perpian
2(0!r"+, +e P".ue!e# 4# &i#trado de pa,uete% tanto a# ni-e# de #a red como de# %er-idor e% una parte importante de a%egurar una red" Lo% &i#tro% #e permiten a #o% admini%tradore% de )I b#o,uear e# acce%o a tr/&ico no de%eado o de%autori0ado a# ni-e# de tanto e# enrutador como de# &ire!a##" Lo% &i#tro% tambi5n pueden %er co#ocado% en #o% %er-idore% para ##e-ar un diario o #og de cierto% %er-icio% o puerto%3 #o% cua#e% pueden identi&icar de donde + cuando un intru%o origin %u ata,ue" 2(0!r"+, +e P".ue!e# e e0 E ru!"+,r 4# &i#trado de pa,uete% en e# enrutador &unciona a tra-5% de# par%eo de #o% cabe0a#e% de #o% pa,uete% + ap#ic/ndo#e cierta% reg#a% para determinar %i permitir o no e# enrutamiento de e%to% pa,uete%" Lo% admini%tradore% de %i%tema% pueden tambi5n e%peci&icar reg#a% ba%ada% en #a inter&ace e.terna re,uerida por e# pa,uete %a#iente" Poder e%peci&icar reg#a% en amba% inter&ace% de entrada + %a#ida #e permite a# admini%trador contro#ar donde e# enrutador e% co#ocado en e# e%,uema genera# de &i#trado" )omemo% en con%ideracin e# %iguiente e%cenario un admini%trador de %i%tema de%ea permitir e# tr/&ico hacia #a red A (;$;";;G"G"G/$H* ($O;"$HB";"G/;@* de%de #a red : ($OG"$J"HJ"G/;@*($A;"?$"$GG"G/;@*3 #a cua# %e acaba de integrar" Pero3 e# no de%ea integrar e# re%to de #a% rede% de #a compa'a a ,ue tengan acce%o a #a red A" 4n #a %iguiente tab#a %e mue%tra #a% po%ib#e% reg#a% de &i#trado para e%ta %ituacin" Reg0" D(re))(* Or(ge D(re))(* De#!( , A))(* A $A;"?$"$GG"G/;@ $O;"$HB";"G/;@ permitir/permit B $O;"$HB";"G/;@ $A;"?$"$GG"G/;@ permitir/permit C G"G"G"G/G G"G"G"G/G denegar/den+ Cuando un pa,uete arriba a# enrutador3 e%te %er/ probado -er%u% #a% reg#a% en %ecuencia (en nue%tro ca%o A:C*" 1upongamo% ,ue un u%uario de : tiene una direccin IP de $A;"?$"$GG";? + e%t/ tratando de acce%ar data de un u%uario en #a red A con #a direccin IP de $O;"$HB";"$H" 4# enrutador permitir/ #a tran%mi%in +a ,ue #a reg#a a ap#icar &ue%e #a reg#a A" Como e# pa,uete ##eno #o% re,uerimiento% de #a reg#a A3 e%te pa% por e# enrutador %in #a ap#icacin de #a% reg#a% : o C" 4n e# orden in-er%a3 de%de una direccin IP en e# rango de $O;"$HB";"G/;@ a una direccin IP en e# rango de $O;"$HB";"G/;@3 #a reg#a A no ap#ica3 a%' e% ,ue #a reg#a : %e pu%iera a prueba" Debido a ,ue #o% pa,uete% %e a7u%tan a# criterio de #a reg#a :3 e%te %er'a permitido a pa%ar ade#ante" La reg#a C e% conocida como #a ruta por de&ecto" 1i un pa,uete no %e a7u%ta ni a #a reg#a A o #a :3 entonce% %e #e ap#ica #a reg#a C" 4n e%te ca%o3 #a reg#a por de&ecto e% ,ue e# enrutador deniegue todo +a ,ue e# rango de G"G"G"G/G inc#u+e toda% #a% direccione% IP" La% tab#a% de &i#trado pueden %er #arga% + comp#e7a%" 4% de %uma importancia ,ue e# admini%trador tenga un entendimiento deta##ado de #o% &i#tro% ,ue %e ap#ican a# tr/&ico + #o% %er-icio% de Internet +a ,ue e% di&'ci# probar #o% &i#tro% ante% de ,ue %ean ap#icado%" Adem/%3 &i#tro% no nece%ario% pueden tornar e# tr/&ico de #a red #ento" A# %er ap#icado% a un enrutador &ire!a## o a# ni-e# de# ho%t3 e% mu+ importante &i#trar #a% peticione% de ping de broadca%t3 tr/&ico entrante con direccione% de red pri-ada% + otro tr/&ico inherentemente di%&ra0ado o bogu%" TCP Wr"//er# >E A,0!ur"#? Lo% )CP <rapper% &uncionan agreg/ndo#e otra capa (!rapper* a #o% pa,uete% en-iado% entre #o% c#iente% + e# %er-idor" Puede %er u%ado para monitorear + &i#trar peticione% entrante% para -ario% %er-icio% de red o&recido% (F)PI te#net3 &inger3 etc*" Para imp#ementar un !rapper en un ho%t para un %er-icio en e%pec'&ico3 e# daemon origina# para e%e %er-icio e% co#ocado en otro %itio" 4ntonce% #a en-o#tura de# %er-icio reemp#a0a e# daemon en #a #oca#idad origina#" 4%te !rapper e%cribe a# #og o deniega #a% peticione% + e7ecuta e# %er-icio de red origina#" La imp#ementacin no e% di&'ci# +a ,ue no ha+ ,ue modi&icar e# daemon de# %er-idor origina# + no %e a&ecta a #o% http //!!!"codigo#ibre"org $OO
Antonio Perpian u%uario% autori0ado% de# %er-icio"
Lo% !rapper% pueden %er u%ado% para b#o,uear e# tr/&ico a cierto %er-icio% ba%ado en IP o nombre de ho%t de# u%uario e&ectuando #a cone.in" Lo% !rapper% pueden adem/% proteger de# %poo&ing de# nombre de# %er-idor a# ni-e# de# %er-icio +a ,ue e##o% pueden e&ectuar b2%,ueda% in-er%a% en #o% IP% + denegar acce%o ba%ado en re%u#tado%" Lo% !rapper% tambi5n %on una manera e&ecti-a de contabi#i0ar e# u%o no autori0ado de# %i%tema" Como #o% !rapper% no a&ectan en #a manera ,ue #o% %er-icio% %e pre%entan a ,uiene% %e conectan a e##o%3 no a#ertan a un crac6er ,ue e%t/n %iendo ob%er-ado%" P,03!()"# +e Re+ La% po#'tica% de #a red de&inen e# u%o apropiado de #o% recur%o% de# %i%tema + #o% recur%o% di%ponib#e% en genera# para todo% #o% u%uario%" Pone en deta##e #o concerniente con %eguridad ,ue #a empre%a en&renta + #o% pa%o% ,ue deben %er tomado% para pro-eer e%a %eguridad" Lo m/% importante3 a%igna #a% re%pon%abi#idade% + autoridade% encargada% de a%egurar + e%tab#ece #a% directrice% a %eguir para #o% ,ue incump#en" :P,r .u; Ne)e#(!"&,# u " P,03!()"1 4ducar a #o% u%uario% e% #a me7or medida ,ue puede %er tomada para me7orar e# ni-e# genera# de %eguridad" Una po#'tica de red in&orma a# u%uario de e# u%o apropiado de# %i%tema3 de&iniendo #a directrice% de #a organi0acin de #o% proce%o% comune% como e% #o% derecho% de# acce%o a #o% archi-o% + %e#eccin de contra%ea" 1i %urge un prob#ema3 #a po#'tica debe pro-eer una accin %i%tem/tica + e%tandari0ada a %eguir" 4%ta% po#'tica% pueden pro-eer a #a organi0acin con cierto tipo de proteccin de #a% acti-idade% i#ega#e% ,ue pueden tercero% e&ectuar u%/ndo#a como pueden en ata,ue% a tercero%" )ambi5n debe inc#uir in%truccione% a admini%trador de %i%tema% con #a %u&iciente re%pon%abi#idad + autoridad para dirigir a ,uien e% cometen e%te tipo de in&raccin" Con #a% po#'tica% correcta% + bien di%eada%3 #o% prob#ema% ,ue %e puedan en&rentar deben %er r/pidamente %o#ucionado%" E0 De#"rr,00, +e P,03!()"# 4n e# de%arro##o de un e%t/ndar de red3 e% importante crear una po#'tica genera# ,ue puede %er ob#igatorio cump#ir e%pec'&icamente" )oda organi0acin tendr/ nece%idade% + preocupacione% de %eguridad + gui/% a %eguir" 4% nece%ario ,ue cua#,uier po#'tica ,ue %e de%arro##e debe tomar toda% e%ta% nece%idade% en cuenta" Segur(+"+ La% rede% %up#en numero%o% recur%o%I a#guno% %on tangib#e3 mientra% ,ue otro% %on intangib#e%" 4# -a#or de #o% recur%o% tangib#e% de una organi0acin pueden %er e-a#uado% con un #e-antamiento de #o% componente% &'%ico% ,ue con&orman #a red3 como e% e# hard!are3 #o% actore% c#a-e% ,ue en e##a% participan o e# bac6up de %u in&ormacin" Lo% componente% intangib#e% pueden %er e-a#uado% con #a ob%er-acin de# u%o de# %i%tema en e# proce%o de# traba7o de #a empre%a3 como e% #a intercomunicacin intero&icina3 a%ignatura% de tarea% o e# %er-icio a# c#iente" 4# -a#or de #a red pueden %er medido #igeramente a%e%ando e# -a#or agregado o aportado por e# %i%tema a# producto &ina#" 4# pr.imo pa%o a# p#ani&icar una #'nea de po#'tica e% determinar #a% amena0a% e%pec'&ica% a e%o% recur%o% + #a% medida% ,ue %e deben tomar para proteger%e contra e%a% amena0a%" 4% mu+ importante ,ue e# co%to tota# de proteger #o% recur%o% no %obre pa%a e# co%to de reemp#a0ar #o% recur%o%" Una organi0acin puede ,ue ##e-ada a# p/nico por #o% e-ento% e hi%toria% de otra organi0acin %imi#ar %ea ##e-ada a in-ertir m/% en #a %eguridad de %u% %i%tema% ,ue e# co%to de reemp#a0o amerite" http //!!!"codigo#ibre"org ;GG
Antonio Perpian
La po#'tica de %eguridad no %o#o a+udar/ a pre-enir #a perdida o e# compromi%o de #o% recur%o% pero tambi5n %up#ir/ una reaccin e%tandari0ada en e# e-ento de ,ue e%to %uceda" La% medida% de %eguridad deben inc#uir a#ineamiento% para #o% admini%tradore% de# %i%tema3 como #a in%ta#acin de programa%3 bac6up% + %eguridad &'%ica" La% po#'tica% de #a red tienen e# potencia# de a&ectar a todo% #o% u%uario% de# %i%tema" A# crear #a% po#'tica%3 debe con%iderar #a dob#e importancia de producti-idad + %eguridad" Lo% ni-e#e% de producti-idad no deben %er %acri&icada% en nombre de #a %eguridad a# meno% ,ue e# potencia# de perdida %ea de ma+or rie%go" 1i #a% reg#a% otorgada% a #o% u%uario% %on dema%iado #imitante3 pueden %er ,ue e##o% %imp#emente #a% boicoteen + #a% ignoren" 4# u%o apropiado de po#'tica% deben a%egurar ,ue #o% recur%o% %ean apropiadamente a%ignado% + #a proteccin de #a pri-acidad + derecho% de #o% u%uario%" La po#'tica debe determinar #a% pena#idade% de# incump#imiento de e%to% a#ineamiento%" A# determinar e# ca%tigo por cierto incump#imiento a%eg2re%e de ,ue e%te pre%ente un abogado3 para ,ue no rompa con #a% #e+e% #oca#e%3 e%pecia#mente #a% #abora#e%" U#, A/r,/("+, La% po#'tica% deben #i%tar #o% ni-e#e% de autori0acin nece%ario% para acce%ar recur%o% e%pec'&ico% de# %i%tema" 4%ta% deben inc#uir #o% a#ineamiento% %eguido% en e# proce%o de #a creacin + e#iminacin de cuenta% a%' como #o% permi%o% a%ignado% a cada c#a%e de u%uario" La% po#'tica% deben nombrar e# u%uario ,ue puede a%ignar #o% permi%o% de acce%o + ,ue tipo de permi%o% e##o% %on re%pon%ab#e% de otorgar" Lo% u%uario% deben %er in&ormado% de cuanta pri-acidad e##o% deben tener + cuanta proteccin #a data debe tener" La% po#'tica% deben di%cutir ,ue tipo% de archi-o% pueden %er de%cargado% + a#macenado en e# %er-idor + #a% e%tacione% de traba7o" Lo% u%uario% deben e%tar in&ormado% de #o% ni-e#e% de %eguridad de #o% %er-idore% en #o% cua#e% e##o% a#macenan documento% importante% + con&idencia#e%" La% po#'tica% deben adem/% dirigir%e a co%a% m/% deta##ada% %obre tarea% genera#e% como %on contra%ea% + correo%3 entre% otra% acti-idade%" CONCEPTOS DE 2IREWALL 4# t5rmino &ire!a## de# ing#5% Lcorta &uegoM -iene de #a t5cnica de %eguridad de #a ingenier'a ci-i# de %eparar do% %eccione% de una edi&icacin3 como %on do% o&icina% o apartamento%3 con una pared ,ue re%i%ta en ca%o de ,ue una de #a% unidade% %e encienda" 4%ta pared mantiene e# &uego ai%#ado a%' e-itando ,ue %e e.panda a otra% #oca#idade%" Aun,ue e%ta %eguridad no permite ,ue e# &uego pa%e de un #ado a# otro e# &ire!a## e% tran%parente para #o% u%uario% autori0ado%" 4n rede% de computadora%3 un &ire!a## de #a red e% una barrera contra e# potencia# de acti-idade% ma#icio%a% + ,ue permite ,ue #o% u%uario% de #a red puedan pa%ar por una puerta para ##e-ar a cabo %u% tarea% de comunicacin entre #a red a%egurada interna + #a red in%egura e.terna" 4n %u% principio% #o% &ire!a##% con%i%t'an de una 2nica m/,uina ,ue %e encontraba entre #a red pri-ada + e# Internet" 4n ao% reciente%3 e# &ire!a## a e-o#ucionado a mucho m/% de ah'3 e%to com2nmente e% conocido como un ho%t ba%tin" 9o+ d'a no% re&erimo% a# &ire!a## como una /rea comp#eta ,ue e%ta de&inida entre #a red interna + e# Internet + con%i%te de una %erie comp#e7a de m/,uina%3 ,ue puede inc#uir enrutadore% + ordenadore%3 + programa%" A# momento de imp#ementar e# &ire!a## de una organi0acin3 u%ted debe %aber ,ue %er-icio% %e -an a o&ertar + cua#e% %u red re,uiere para #o% u%uario% e.terno% como #o% interno%" La nece%idad de acce%o a %er-icio% en ambo% #ado de# &ire!a## e% e# punto determinante en #a% &uncione% ,ue %u &ire!a## u%ar/" http //!!!"codigo#ibre"org ;G$
Antonio Perpian 4n e%ta %eccin3 #o% %iguiente% tema% %er/n di%cutido% 4# 8o# de# Fire!a## )ermino#og'a de Fire!a##% DKb (bona De%mi#itari0ada* Con&iguracin por De&ecto de Fire!a##%
CONCEPTOS DE 2IREWALL 4# &ire!a## e% e# e#emento m/% cr'tico de toda imp#ementacin de %eguridad" )oda e%trategia de &ire!a## debe tener cuatro% ob7eti-o%" Cada uno de e%to% ob7eti-o% no %e #ogra u%ando un %#o di%po%iti-o o un 2nico %o&t!are" Ku+ a menudo %e nece%ita 7untar m/% de un componente para #ograr cump#ir con #o% ni-e#e% de %eguridad de una compa'a" Lo% &ire!a##% deben %ati%&acer #o% %iguiente% cuatro% ob7eti-o%" I&/0e&e !"r 0"# P,03!()"# +e Segur(+"+ 4# &ire!a## e% #a manera m/% %egura de poder en&or0ar %u% po#'tica% de %eguridad" Anteriormente hab#amo% de po#'tica% de %eguridad + %u importancia en #o% ni-e#e% apropiado% de %eguridad" 1u% po#'tica% de %eguridad pueden #i%tar ,ue %#o e# %er-idor de correo de Internet tran%mitir/ tr/&ico 1K)P" u%ted debe en&or0ar e%ta caracter'%tica de e%ta po#'tica directamente en e# &ire!a##" De4e Cre"r u Pu !, +e ReA(#(* Lo% &ire!a##% crean un punto de re-i%in (chec6point%* entre #a red pri-ada + #a p2b#ica" La imp#ementacin apropiada re,uiere ,ue todo tr/&ico %ea pa%ado por un t2ne# a tra-5% de e%te punto de re-i%in" Una -e0 + e%to% punto% han %ido e%tab#ecido%3 #o% di%po%iti-o% ,ue con%titu+en e# &ire!a## pueden monitorear3 &i#trar + -eri&icar todo tr/&ico3 tanto %a#iente como e# entrante" 4%to% punto% de chec6point %on tambi5n conocido% en #a indu%tria como cho6epoint%" A# dirigir &or0o%amente todo e# tr/&ico entrante + %a#iente a e%to% punto% de cho6e3 #o% admini%tradore% de rede% pueden concentrar %u% e%&uer0o% en %itio% e%pec'&ico%" 1in e%to% #ugare% para monitorear + contro#ar #a in&ormacin3 un admini%trador de %i%tema o de %eguridad tu-ie%e dema%iado %itio% en #o% cua#e% concentrar %u% tarea% de monitorear3 #o ,ue tornar'a e%ta tarea impo%ib#e" 4# con7unto de punto% de cho6e e% conocido como e# per'metro de #a red" L(&(!"r 0" E%/,#()(* +e 0" Re+ 4# &ire!a## crea un per'metro protegido o &rontera3 a#rededor de %u red" 4%ta me7ora %u pri-acidad a tra-5% de e%conder %u %i%tema interno + %u in&ormacin de #a red p2b#ica" Cuando un nodo remoto intenta identi&icar %u red e##o% %o#o -er/n %u &ire!a##%" 4# di%po%iti-o remoto no podr/ identi&icar #a e%tructura de %u red ni %i,uiera cuanta% computadora% ha+ internamente" Un &ire!a## #imita #a e.po%icin de red a# me7orar #a autenti&icacin + pro-ee adem/% encriptacin de red a red" A# hacer ,ue e# tr/&ico entrante a pa%ar a tra-5% de -ario% punto% de re-i%in o chec6point3 un &ire!a## a+uda a #imitar #o% ata,ue% ,ue pueden %er e&ectuado% de%de &uera de #a red interna" TERMINOLOGIA DE 2IREWALL 4n e%ta %eccin trataremo%3 ante% de continuar de de&inir #a termino#og'a u%ada en cuando %e di%cute de &ire!a##% + %u% tecno#og'a%" De&iniremo% -ario% t5rmino% mu+ u%ado% cuando de &ire!a##% %e hab#a" 2(0!r"+,re# +e P".ue!e Lo% di%po%iti-o% ,ue e&ect2an &i#trado de pa,uete% %on a,ue##o% ,ue proce%an e# tr/&ico de red pa,uete por pa,uete" Lo% di%po%iti-o% ,ue &i#tran pa,uete% permiten o b#o,uean pa,uete% + %on t'picamente imp#ementado% a tra-5% de enrutadore% e%t/ndare%" Lo% &i#tradore% de pa,uete% %on un tipo de #o% -ario% tipo% de &ire!a##% ,ue http //!!!"codigo#ibre"org ;G;
Antonio Perpian di%cutiremo% m/% ade#ante en e%te cap'tu#o"
G"!eM"-/P"#"re0" Un di%po%iti-o gate!a+ e% a,ue# ,ue pro-ee %er-icio% de re#e-o entre do% di%po%iti-o%" Lo% gate!a+% pueden %er una ap#icacin de Internet3 como e% e# CGI (Common Gate!a+ Inter&ace* o un gate!a+ &ire!a## ,ue proce%a e# tr/&ico entre do% ho%t%" 4# t5rmino e% gen5rico + %er/ u%ado a,u' para repre%entar un componente de un &ire!a## ,ue proce%a dato% entre do% rede%" G"!eM"- +e0 N(Ae0 +e C(r)u(!, 4%te e% un gate!a+ en e# cua# #a &uncin de# &ire!a## e%t/ di-idida entre do% ho%t%" Un ho%t %e con-ierte en un enrutador para &i#trar + e# otro e% una ap#icacin &ire!a##" Otra manera de imp#ementar#o e% crear una cone.in %egura entre e# primer ho%t + e# %egundo &ire!a##" 4# bene&icio de e%te mode#o e% ,ue pro-ee to#erancia a &a##a en ca%o de ,ue ocurra un ata,ue" 4%ta mode#o tambi5n permite ,ue #o% ata,ue% %e di-idan entre #o% do% ho%t%" 1i un ho%t e% atacado3 e# %egundo %e ,ueda intacto" 4# circuit>#e-e# gate!a+ e% %imi#ar a# &i#trado de pa,uete%" La -enta7a principa# de e%te mode#o de gate!a+ e% e# de %up#ir NA) (Net!or6 Addre%% )ran%#ation*" G"!eM"- +e0 N(Ae0 +e A/0()")(* Lo% gate!a+% de ap#icacin &uncionan en toda% #a% capa% de# mode#o O1I" 1on por #o genera# imp#ementada% a tra-5% de #a in%ta#acin de %o&t!are en %er-idore% dua#>homed (do% o m/% tar7eta% de rede%*" 4%to% gate!a+% de ap#icacione% %on conocido% en e# ma+or de #o% ca%o% como %er-idore% pro.+%3 pero #a di&erencia e% importante + debemo% mantener#a %eparado" SerA(+,r Pr,%Lo% %er-idore% pro.+ %e comunican con %er-idore% e.terno% como intermediario% de %u% c#iente% interno%" 4# t5rmino %er-idor pro.+ norma#mente %e re&iere a un gate!a+ de# ni-e# de ap#icacin3 aun,ue #o% gate!a+% de# ni-e# de circuito tambi5n %on cierto tipo de %er-idore% pro.+" Una manera m/% genera# e% #a ,ue uti#i0aremo% a,u' ,ue e% ,ue un %er-idor pro.+ e% un %er-idor ,ue %e comunica de parte de otro%" Cuando u%amo% e# t5rmino de gate!a+ de# ni-e# de ap#icacione% o e# de circuito3 no% re&erimo% a %er-icio% pro-e'do% por cada &orma de &ire!a##" NAT >Ne!M,rD A++re## Tr" #0"!(, ? 4# NA) e%conde #a% direccione% IP interna% a #a% rede% e.terna%" Cuando un &ire!a## e% con&igurado para pro-eer NA)3 toda% #a% direccione% interna% %on traducida% a direccione% IP p2b#ica% a# conectar%e a &uente% e.terna%" Otro t5rmino u%ado% para e# NA) e% enma%caramiento de IP (ma%,uerade*" 4# 8FC $O$B de&ine #a% direccione% ,ue e# IANA (Internet A%%igned Number Authorit+* recomienda ,ue %e u%e uno de #o% %iguiente% e%,uema% de direccione% IP interna%" 4##a% %on e%ta% a,u' mo%trada% A> $G"G"G"G >a> $G";JJ";JJ";JJ :> $A;"$H"G"G >a> $A;"?$";JJ";JJ C> $O;"$HB"G"G >a> $O;"$HB";JJ";JJ 1i %u organi0acin e#ige uti#i0ar una de e%ta% direccione% de red a,u' #i%tada3 entonce% no ha+ nece%idad de regi%trar#a con #a autoridad de# Internet" La -enta7a de u%ar una de e%ta% direccione% a,u' #i%tada e% ,ue e%ta% direccione% nunca correr/n e# rie%go de %er enrutada %obre Internet" )odo% #o% enrutadore% %on programado% para ,ue rechacen enrutar una de e%ta% direccione%" 4# no enrutar e%ta% direccione% e% bene&icio%o +a ,ue no toda% #a% http //!!!"codigo#ibre"org ;G?
Antonio Perpian
e%tacione% de traba7o + %er-idore% e%tar/n e.pue%ta% a #a red p2b#ica" 1i un ho%t e%t/ con&igurado con una de e%ta% IP pri-ada no podr/ %er a#can0ada de%de e# e.terior debido a ,ue no e.i%te una ruta (route* para ##egar donde e##a" H"4(0(!"r NAT - Cre"r Re+e# Pr(A"+"# A# u%ar NA) en un di%po%iti-o mu#tihomed3 como e% un enrutador3 deber/ determinar cua# de #a% do% NIC% (Net!or6 Inter&ace Card%* o tar7eta de red e% #a p2b#ica + cua# e% #a pri-ada o interna" 1o#amente #a NIC p2b#ica debe %er u%ada para pro-eer NA)" Kucha% &ire!a##% %on con&igurada% para ,ue %i %e o&rece NA) en #a NIC p2b#ica3 ning2n tr/&ico ,ue %e origine de%de #a red p2b#ica %er/ pa%ado (&or!arded* a #a otra% rede%" Pero3 e# tr/&ico ,ue %e origina de%de #a red pri-ada pueden pa%ar hacia #a red p2b#ica o e.terna" 4n e%ta %ituacin3 u%ted debe crear reg#a% e%peci&ica% para denegar e# pa%o de tr/&ico de%de #a red interna a #a red e.terna" NAT - 0" Ter&( ,0,g3" +e Su/0(+,re# Lo% pro-eedore% de producto% de %er-icio% de &ire!a## u%an %u% propia% termino#og'a" 9a+ pro-eedore% ,ue uti#i0an #a termino#og'a de con&ian0a + con&iado% para de%cribir #a &uncione% de&en%i-a% de #o% %er-idore% pro.+ en #o% di%po%iti-o% mu#tihomed" A,u' pre%entamo% #a% de&inicione% de e%to% t5rmino%

Tru#!( g 4# pro.+ permite tr/&ico de%de #a inter&ace de red interna a entrar a# %i%tema de# %er-idor pro.+" Tru#!e+ 4%ta e% #a red o e# ho%t ,ue e% permitido acce%o a# %i%tema" Tru#! >C, '(" 6"? Puede ocurrir en una de do% &orma%" U%ted puede imp#ementar una con&ian0a comp#eta de una -'a en e# cua# #a red interna puede cru0ar e# %er-idor pro.+ + acce%ar recur%o% e.terno%" Una con&ian0a comp#eta de do% -'a permite todo tr/&ico3 %in importar #a procedencia3 cru0ar e# %er-idor pro.+" 4.cepto por e# hecho de ,ue e# &ire!a## a2n mantendr/ %u diario (#og* de #a% acti-idade%3 e%te tipo de po#'tica retira e# prop%ito de# &ire!a##"
B"#!(* H,#! Un ba%tin e% un %i%tema de computadora %eguro co#ocado entre una red con&iada + una de%con&iada3 como e% Internet" U%ted puede tener un ho%t %ing#e>homed (parecido a# mu#tihomed pero con una %o#a NIC* de ba%tin" La ma+or'a de #a% -ece%3 un ba%tin u%a do% o m/% NIC%" Cada tar7eta act2a como un inter&ace a una red por %eparado" Una tar7eta e% #a red conectada a #a red e.terna como Internet3 #a cua# e% p2b#ica3 #a otra tar7eta e% #a de produccin de %u red interna ,ue e% #a ,ue u%ted como admini%trador debe %uper-i%ar3 contro#ar + proteger" Un ho%t ba%tin a menudo di%tribu+e %er-icio% de gate!a+" Un %er-icio de gate!a+ e% un daemon dedicado ,ue enruta un protoco#o e%pec'&ico de #a red p2b#ica hacia #a red pri-ada -ice-er%a" 4n un gate!a+ de# ni-e# de ap#icacin3 %e re,uiere un daemon para cada protoco#o de #a Capa de Ap#icacin ,ue de%eamo% uti#i0ar" A%' ,ue %i de%ea enrutar %er-icio% de emai#3 <eb + F)P a tra-5% de un ho%t ba%tin3 #e %er/ nece%ario iniciar un daemon por cada uno" para permitir e# acce%o de emai#3 por e7emp#o tendr/ ,ue iniciar e# daemon POP? + e# daemon 1K)P" Un enrutador de &i#trado de pa,uete act2a como un ho%t ba%tin no uti#i0a daemon% en e%ta manera por,ue e%te %imp#emente &i#tra pa,uete%3 a di&erencia de proce%ar#o3 a tra-5% de #o% %er-icio%" E +ure)(&(e !, +e0 S(#!e&" O/er"!(A, Un &ire!a## re,uiere un n2mero #imitado de %er-icio%" A# endurecer un %i%tema operati-o3 #a in%ta#acin de# programa de &ire!a## de%habi#ita o e#imina #o% %er-icio% no nece%ario%" #a ma+or'a de #o% pa,uete% de &ire!a##% operan %obre #a ma+or'a de #a% di%tribucione% de GNU/Linu." Por #o genera#3 e# %i%tema de%ignado como &ire!a## no e% u%ado para ninguna otra ap#icacin debido a ,ue e# %o&t!are de# &ire!a## proh'be in%ta#acin + e7ecucin de todo programa% ,ue no %on reconocido% e%pec'&icamente" Por ra0one% como e%ta% e% ,ue u%ted debe dedicar %u &ire!a## %o#o a #a% tarea% de &ire!a##" http //!!!"codigo#ibre"org ;G@
Antonio Perpian
)ambi5n debe con%iderar e#iminar todo #o% en#ace% (binding* de protoco#o% e.cepto e# de )CP/IP de #a tar7eta e.terna" DMi >i, " De#&(0(!"r(6"+"? Un DKb e% una mini>red ,ue re%ide entre una red interna de una organi0acin + #a red e.terna" La red e% creada por un enrutador &i#tro + a#guna% -ece% un enrutador cho6e" 1e e.p#ican e%to% enrutadore% m/% ade#ante" Un DKb e% u%ado como un co#chn (bu&&er* para %eparar a2n m/% #a red p2b#ica de #a pri-ada" Otro nombre u%ado para de&inir un DKb e% una red de %er-icio%" Kucho% admini%tradore% de %i%tema co#ocan %er-idore% de <eb + DN1 (Domain Name 1+%tem* en un DKb por %u% ob-ia% con-eniencia%" Lo% bene&icio% de e%ta pr/ctica e% ,ue e# enrutador &i#tra + no% pro-ee proteccin" La de%-enta7a ,ue todo %er-idor dentro de un DKb no e%t/ tan protegido como %i e.i%tie%e detr/% de# enrutador cho6e" E ru!"+,re# +e 2(0!r"+, - CG,De Un router de &i#trado e% %o#o otro nombre para e# enrutador de &i#trado de pa,uete% ,ue tiene por #o meno% una inter&ace e.pue%ta a #a red p2b#ica3 como e% Internet" Otro nombre para e# router de &i#trado e% e# router de La&ueraM +a ,ue e%te e% ,ue mue%tra %u inter&ace a Internet + no a nue%tra red interna" Un router de &i#trado e% di&erente a un ho%t ba%tin en ,ue e%te no uti#i0a %er-icio% adiciona#e% para &i#trar #o% pa,uete% tota#mente" Un router de &i#trado e% con&igurado para e.aminar #o% pa,uete% entrante% + %a#iente% ba%ado% en reg#a% de &i#trado" CG,De R,u!er Cuando %e u%an do% enrutadore% en una con&iguracin de &ire!a##%3 e# enrutador interno (e%to e% e# enrutador ,ue mue%tra %u inter&ace a #a red pri-ada o interna* e% por #o genera# ##amado e# cho6e router" Un cho6e router de&ine e# punto ,ue una red p2b#ica puede acce%ar %u red interna" 4%te tambi5n de&ine e# punto en ,ue #o% u%uario% interno% pueden acce%ar #a red e.terna" Lo% admini%tradore% de %eguridad uti#i0an punto% de cho6e para #imitar e# acce%o e.terno a %u% rede%" U%ando una e%trategia de &ire!a## crea punto% de cho6e por,ue todo e# tr/&ico debe &#uir a tra-5% de #o% &ire!a##%" P,r De'e)!,# e 0" C, '(gur")(* +e 2(reM"00# Por de&ecto un &ire!a## puede %er con&igurado para ,ue rinda una de do% co%a% Denegar todo e# tr/&ico3 en e# cua#3 u%ted e%peci&icar'a cierto tr/&ico a permitir %a#ir + entrar de %u red" Permitir todo tr/&ico3 en e# cua#3 u%ted e%peci&icar'a cierto tr/&ico a denegar" Por de&ecto #o me7or e% denegar todo + #uego a medida ,ue #a nece%idad %urge ir permitiendo e# pa%o" Una -e0 %e in%ta#a e# &ire!a##3 tendr/ ,ue abrir #o% puerto% ,ue #e %ean nece%ario%3 para ,ue #o% u%uario% puedan acce%ar #o% recur%o% ,ue e##o% e%t/n autori0ado%" Por e7emp#o3 %i un u%uario e%t/ autori0ado a en-iar + recibir emai#3 u%ted tendr/ ,ue crear #a% reg#a% + iniciar e# daemon de POP? + 1K)P para ,ue e# &ire!a## #e permita pa%ar" 8ecuerde ,ue #o% &ire!a##% traba7an en do% manera% contro#a e# acce%o a# tr/&ico entrante + %a#iente de #a red" A%' ,ue e% nece%ario ,ue abra #o% puerto% ,ue contro#an #a entrada de tr/&ico autori0ado" 1i u%ted tiene un &ire!a## ,ue permite todo tr/&ico por de&ecto3 entonce% tendr/ ,ue a%egurar%e de e%tab#ecer reg#a% + u%ar -ario% %er-icio% (#o% daemon%* para denegar e# tr/&ico no de%eado3 como %on #a% peticione% entrante% de %e%ione% + tr/&ico )CP con #a opcin de 1dN e%tab#ecida" PROXYS Y GATEWAYS 4# bene&icio principa# de <eb pro.+ e% ,ue e%te agi#i0a e# acce%o percibido a# Internet por #o% u%uario% #oca#e% en #a LAN" Una -e0 e# <eb pro.+ de%arro##a %u&iciente cache3 e%te puede entonce% %er-ir toda% #a% http //!!!"codigo#ibre"org ;GJ
Antonio Perpian
peticione% de%de %u cache" Lo% c#iente% de# <eb pro.+ pueden recibir re%pue%ta% a %u% peticione% mucho m/% r/pido" 4# otro bene&icio de un <eb pro.+ e% ,ue #o% c#iente% +a no tendr/n ,ue e%tar conectado% directamente a# Internet3 haci5ndo#o% a%' meno% -u#nerab#e% + ob7eto% de ata,ue%3 #o cua# centra#i0a %u en&o,ue de #a admini%tracin de %eguridad" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin 1er-idore% Pro.+% Gate!a+% de# Ni-e# de Circuito Gate!a+% de# Ni-e# de Ap#icacin 1,uid Caracter'%tica% A-an0ada% SerA(+,re# Pr,%4n e# conte.to de #a% ciencia% de #a computacin3 e# t5rmino pro.+ (en ing#5% ]apoderado^ o ]de#egado^* hace re&erencia a un programa ,ue rea#i0a una accin en repre%entacin de otro" Un %er-idor pro.+ e% un %er-icio de red ,ue permite a #o% c#iente% rea#i0ar cone.ione% a una red de &orma indirecta" 4# c#iente %e conecta a# %er-idor pro.+3 5%te pide una cone.in3 archi-o o cua#,uier otro recur%o di%ponib#e a un %er-idor di&erente3 + e% e# pro.+ e# ,ue proporciona e# recur%o3 po%ib#emente conect/ndo%e a# %er-idor e%pec'&ico3 o %ir-i5ndo#o de%de un cach5" 4n a#guno% ca%o%3 e# pro.+ puede a#terar #a peticin de# c#iente o #a re%pue%ta de# %er-idor por di-er%o% moti-o%" Lo% %er-idore% pro.+ %on u%ado% como una #'nea de de&en%a entre #o% u%uario% de #a red + e# Internet" Lo% pro.+% #imitan e# acce%o a #a data + e%conden #a #oca#idad de #a in&ormacin pro-e'da por e# Internet" 4# %er-idor pro.+ toma #a peticin de# u%uario determina %u -a#ide0 ante% de pa%ar #a peticin a# %er-idor de Internet" Lo% %er-idore% pro.+% ca%i %iempre %on integrado% en e%,uema% m/% amp#io% de %eguridad + %on por #o genera# acompaado% de un &ire!a##" 4# concepto de pro.+ e% mu+ importante a #a% ap#icacione% de &ire!a## por,ue un pro.+ reemp#a0a #a direccin IP de #a red con una direccin de contingencia" 4%te proce%o e&ecti-amente e%conde #a% direccione% IP rea#e% a# re%to de# Internet3 a%' protegiendo nue%tra red por comp#eto" Lo primero ,ue hace un crac6er e% e.aminar %u red para encontrar #o% punto% d5bi#e% en e##a" )'picamente #o ,ue hace para empe0ar e% un e%caneado de #o% puerto%" Para contrarre%tar e%te pa%o3 u%ted debe e%conder #a ma+or cantidad de in&ormacin po%ib#e a cerca de #a con&iguracin interna de %u %i%tema" Lo% pro.+% permiten e%conder e%ta in&ormacin + a2n permitir e# &#u7o de comunicacin ,ue contin2e %in a&ectar#a" Lo% pro.+% -ienen en tre% &orma% b/%ica% <eb pro.+3 gate!a+ a ni-e# de circuito + gate!a+ de ni-e# de ap#icacin" G"!eM"-# " N(Ae0 +e C(r)u(!, 4%ta tecno#og'a pertenece a #a %egunda generacin de &ire!a##% + -a#ida ,ue #o% pa,uete% pertene0can +a %ea a una %o#icitud de cone.in o bien a una cone.in entre do% computadora%" Ap#ica mecani%mo% de %eguridad cuando una cone.in )CP o UDP e% e%tab#ecida" Una -e0 ,ue #a cone.in %e e%tab#ece3 #o% pa,uete% pueden ir + -enir entre #a% computadora% %in tener ,ue %er re-i%ado% cada -e0" 4# &ire!a## mantiene una tab#a de cone.ione% -/#ida% + permite ,ue #o% pa,uete% de #a red pa%en a tra-5% de e##a %i corre%ponden a a#g2n regi%tro de #a tab#a" Una -e0 terminada #a cone.in3 #a tab#a %e borra + #a tran%mi%in de in&ormacin entre #a% do% computadora% %e cierra" 4%te gate!a+ act2a como un traductor de direccione% IP entre e# Internet + %u %i%tema interno" 4%te opera en #a capa de 8ed de# mode#o O1I" 4%te &ire!a## http //!!!"codigo#ibre"org ;GH
Antonio Perpian
gate!a+ a ni-e# de circuito recibe #o% pa,uete% de #a red %a#iente% + tran%&iere en nombre de# %i%tema interno" Lo mi%mo para con e# tr/&ico entrante" Una -enta7a de e%te tipo de gate!a+ tiene %obre e# &i#trado de pa,uete% e% ,ue pro-ee una ruptura comp#eta entre e# Internet + %u red interna" Lo% enrutadore% de &i#tradore% de pa,uete% tambi5n tienen do% inter&ace%3 pero %u 2nica &uncin e% #a de enrutar pa,uete% IP + #uego in%peccionar#o%" Lo% enrutadore% de &i#trado deben %er con&igurado% con tab#a% de enrutamiento para ambo% #a rede% interna% + #a% e.terna%" 4%ta% tab#a% #e mue%tran a #o% u%uario% e.terno% parte de %u% tab#a% interna%" La% do% inter&ace% de# gate!a+ a ni-e# de circuito rea#mente no enrutan3 pero traducen direccione% IP de%de #a inter&ace interna a #a direccione% IP e.terna%3 a%' protegiendo #a red interna" 8ecuerde ,ue no debe con&igurar e# reen-'o (&or!arding* de IP o enrutamiento en ninguno de #o% gate!a+% de ni-e# de ap#icacin o circuito" 4# gate!a+ de ni-e# de circuito m/% popu#ar e% e# 1OC\1 gate!a+ in-entado por I:K" 4.i%ten mucho% producto% comercia#e% ,ue pro-een %oporte 1OC\" Pr,)e#,# 4# proce%o de tran%mi%in empie0a cuando e# %i%tema interno en-'a una %erie de pa,uete% de%tinado% para Internet" 4%to% pa,uete% entonce% proceden a# gate!a+ de circuito3 e# cua# #o% compara contra %u con7unto de reg#a%" 1i #o% pa,uete% no -io#an ninguna% de #a% reg#a% e# gate!a+ de ni-e# de circuito en-'a #o% mi%mo% pa,uete% departe de# %i%tema interno" 4# pa,uete ,ue aparece en e# Internet aparenta haber originado de%de e# gate!a+ de ni-e# de circuito" 4%te proce%o e&ecti-amente protege toda #a in&ormacin interna de #a red3 como e% topo#og'a de #a red3 de Internet" Ve !"5"# - De#Ae !"5"# La -enta7a principa# de #o% gate!a+% de ni-e# de circuito e% e# NA)3 e# cua# #e permite a #o% admini%tradore% de %i%tema% + %eguridad gran &#e.ibi#idad a# de%arro##ar un e%,uema de direccionamiento interno" Lo% gate!a+% de ni-e# de circuito %on ba%ado% en #o% mi%mo% principio% ,ue #o% &ire!a##% de &i#trado de pa,uete%" )oda% #a% -enta7a% pro-e'da% por e# &i#trado de pa,uete% %e e.tienden a #o% gate!a+% de circuito + a%' %u% de%-enta7a%" 4#egir entre #o% pa,uete% bueno% + #o% ma#o%3 %u%ceptib#e a IP %poo&ing + comp#e7idad %on toda% debi#idade% de# gate!a+ de circuito" La de%-enta7a principa# de un gate!a+ de circuito e% ,ue re,uieren #a modi&icacin de ap#icacione% + de procedimiento%" Para traba7ar con un &ire!a## gate!a+ de circuito3 una ap#icacin debe e%ta e%pec'&icamente e%crita para direccionar %u %a#ida hacia e# puerto de# di%po%iti-o &ire!a## actua#" Como no toda% #a% ap#icacione% e%t/n e%crita% para co#aborar con #o% gate!a+% de circuito3 u%ar e%te tipo de &ire!a## puede ,ue #imite %e-eramente #a habi#idad de u%ar ap#icacione% cr'tica%" Un gate!a+ de circuito puede re,uerir #a autenti&icacin de #o% u%uario% con e# gate!a+" 4% probab#e ,ue tenga ,ue entrenar a #o% u%uario% en e%te procedimiento o %u imp#ementacin de %eguridad puede ,ue a&ecte negati-amente #a producti-idad de #o% emp#eado%" G"!eM"-# +e0 N(Ae0 +e A/0()")(* Lo% gate!a+% ni-e#>ap#icacin monitorean pa,uete% en #a capa de Ap#icacin en e# mode#o O1I" 4n mucho% a%pecto% un gate!a+ de# ni-e# de ap#icacin e% nada m/% ,ue un %er-idor pro.+" Lo% gate!a+% ni-e#>ap#icacin permiten a# admini%trador de red #a imp#ementacin de una po#'tica de %eguridad e%tricta ,ue #a ,ue permite un enrutador &i#tra>pa,uete%" Kucho me7or ,ue depender de una herramienta gen5rica de &i#tra>pa,uete% para admini%trar #a circu#acin de #o% %er-icio% de Internet a tra-5% de# &ire!a##3 %e in%ta#a en e# gate!a+ un cdigo de http //!!!"codigo#ibre"org ;GA
Antonio Perpian
prop%ito>e%pecia# (un %er-icio Pro.+* para cada ap#icacin de%eada" 1i e# admini%trador de red no in%ta#a e# cdigo Pro.+ para #a ap#icacin particu#ar3 e# %er-icio no e% %oportado + no podr/n de%p#a0ar%e a tra-5% de# &ire!a##" Konitorear pa,uete% a# ni-e# de ap#icacin #e permite a# gate!a+ de ap#icacin ana#i0ar #a data como un men%a7e comp#eto en -e0 de pa,uete% indi-idua#e%" A# ana#i0ar e# men%a7e comp#eto3 e%te tipo de &ire!a## puede determinar %i e# men%a7e contiene data buena o ma#icio%a" 4%to %e determina creando reg#a% o &i#tro% ,ue e# gate!a+ de ap#icacin re&erenciar/ a# en-iar o recibir data" Por e7emp#o3 mucho% %er-idore% de pro.+ %on u%ado% como di%po%iti-o% intermediario% a# enrutar tr/&ico 1K)P hacia + de%de #a% rede% interna% + e.terna%" 4# 1K)P no contiene e%peci&icacione% para e%canear men%a7e% 1K)P por contenido + archi-o% ad7unto% en e%pec'&ico" 4# gate!a+ a ni-e# de ap#icacin puede ana#i0ar cada men%a7e 1K)P por comp#eto + comparar#o a #a% reg#a% de# &i#tro de# %er-idor pro.+" Pr,)e#,# Cuando un nodo interno inicia una cone.in )CP/IP a tra-5% de un %er-idor pro.+3 e# %er-idor pro.+ recibe #a peticin + #a compara a un con7unto de &i#tro% con&igurab#e%" 1i e# no interno e%t/ e&ectuando una peticin autori0ada3 e# %er-idor pro.+ iniciar/ #a cone.in con e# %er-idor remoto" 4# %er-idor pro.+ entonce% actuar/ como e# c#iente ,ue hace #a peticione%3 comp#etamente ocu#tando e# nodo interno de# %er-idor remoto" 4# %er-idor generar/ re%pue%ta% )CP/IP ba%ada% en #a% peticione% en-iada% por e# %er-idor pro.+" La% re%pue%ta% %er/n en-iada% a# %er-idor pro.+3 donde e%ta% re%pue%ta% %er/n re-i%ada% contra #o% &i#tro% de# %er-idor pro.+" 1i #a% re%pue%ta% de# %er-idor remoto %on permitida%3 e# %er-idor pro.+ en-iar/ #a% re%pue%ta% a# nodo interno" A# U%ar un gate!a+ de# ni-e# de ap#icacin3 cierto% protoco#o% traba7ar/n me7ore% ,ue otro%" Como e# protoco#o )CP e%t/ ba%ado en cone.in3 %e pre%ta mu+ &/ci# a# u%o a tra-5% de un %er-idor pro.+" 4# %er-idor pro.+ ap#ica #o% &i#tro% a #a %e%in )CP %#o cuando e%ta %e inicia" Durante e# periodo de -ida de #a %e%in )CP3 e# %er-idor pro.+ no ana#i0a #a porcin de# cabe0a# de# pa,uete" 4# UDP (U%er Datagram Protoco#* e% %in cone.in + cada pa,uete UDP e% tratado como un men%a7e por %eparado" 4# %er-idor pro.+ debe ana#i0ar cada pa,uete por %eparado + ap#icar#e #a% reg#a% de #o% &i#tro%3 #o cua# torna un poco #ento e# proce%o de# pro.+" 4# ICKP e% impo%ib#e para #o% pro.+3 a%' ,ue #o% programa% ,ue dependen de men%a7e% ICKP3 por #o genera# no traba7an a tra-5% de un pro.+ de# ni-e# de ap#icacione%" Por e7emp#o3 e# tr/&ico 9))P e% mu+ a menudo uti#i0ado con #o% %er-idore% pro.+3 pero un nodo interno no puede e&ectuar un ping a un %er-idor remoto a tra-5% de# %er-idor pro.+" 4# ping uti#i0a e# ICKP para #o% men%a7e% de re%pue%ta ,ue e# %er-idor pro.+ no puede mane7ar" Ve !"5"# +e0 SerA(+,r Pr,%La -enta7a principa# de un %er-idor pro.+ e% %u capacidad de pro-eer NA)" Protegiendo %u red interna de #a% rede% p2b#ica%" 1on mucho% #o% bene&icio% de%p#egado% en un gate!a+ a ni-e#>ap#icacin" 4##o% dan a #a admini%tracin de red un comp#eto contro# de cada %er-icio de%de ap#icacione% pro.+ #imitada% por un con7unto de comando% + #a determinacin de# %er-idor interno donde %e puede acceder a #o% %er-icio%" Aun cuando3 e# admini%trador de #a red tenga e# comp#eto contro# acerca de ,ue %er-icio% ,ue %on permitido% de%de #a carencia de un %er-icio pro.+ para uno en particu#ar %igni&ica ,ue e# %er-icio e%ta comp#etamente b#o,ueado" Lo% gate!a+% a ni-e#>ap#icacin tienen #a habi#idad de %oportar autenticacione% &or0ando a# u%uario para pro-eer in&ormacin deta##ada de regi%tro" Fina#mente3 #a% reg#a% de &i#trado para un gate!a+ de e%te tipo %on mucho m/% &/ci#e% de con&igurar + probar ,ue en un router &i#tra>pa,uete%" A,u' di%cutimo% una cuanta% de e%ta% -enta7a%" L,gg( g - A0"r&"# La% caracter'%tica% de e%cribir #o% #og% + a#arma% pro-e'da% %on por #o genera# m/% robu%ta% ,ue e%a% ,ue %e http //!!!"codigo#ibre"org ;GB
Antonio Perpian
%up#en en #o% de &i#trado de pa,uete% + #o% gate!a+% de ni-e# de circuito" Lo% %er-idore% pro.+ ana#i0an mucha m/% in&ormacin ,ue #o% otro% do% tipo% de &ire!a##%3 e##o% pueden e%cribir a# #og ca%i cada porcin de una %e%in )CP/IP3 de%de #a trama de #a red ha%ta #a capa de ap#icacin" C")Ge Como #o% %er-idore% pro.+ nece%itan ana#i0ar un pa,uete )CP/IP en cada capa de# )CP/IP3 e# %er-idor pro.+ a menudo a#macenar/ e%ta in&ormacin en cache a# di%co" Cua#,uier otra peticin por e%ta mi%ma data ahora %er'a acce%ada de%de e# di%co duro de# %er-idor pro.+ en -e0 de# %er-idor remoto" :u%car #a in&ormacin de%de e# di%co e% mucho m/% r/pido ,ue bu%car#a de%de e# %er-idor remoto" Kucha% reg#a% pueden %er ap#icada% a# %er-idor pro.+ para con&igurar ,ue tan a menudo e%te re-i%ar/ e# %er-idor remoto por %i e# contenido ha %ido actua#i0ado" A C0(#(# +e 0" A/0()")(* Lo% %er-idore% pro.+ pueden ana#i0ar tr/&ico )CP/IP en #a capa de Ap#icacin" A,u' #e damo% a#guno% e7emp#o% de como e%ta caracter'%tica puede %er u%adaI pero recuerde ,ue no toda% #a% %iguiente% caracter'%tica% e%t/n di%ponib#e% en todo% #o% %er-idore% 4# 1K)P tr/&ico puede %er e%caneado por -iru% + tro7ano%" 4# tr/&ico 9))P en e%pec'&ico + NN)P (Net!or6 Ne!% )ran%&er Protoco#* puede %er monitoreado por contenido re%tringido" Nombre% de Dominio% pueden %er e%peci&icado% para re%tringir acce%o a dominio% comp#eto%" Pr,%- ReAer#,# - Arreg0,# Otra -enta7a de# u%o de gate!a+% de ni-e# de ap#icacin e% #a habi#idad de pro-eer %er-icio% de pro.+ re-er%a" 4%to% %er-icio% traba7an en una manera mu+ %imi#ar a #a e%t/ndar e.cepto ,ue e##o% %ir-en a #a% peticione% entrante%" Lo% %er-idore% pro.+ re-er%o %e co#ocan &uera de# %i%tema de &ire!a## de #a red + %on regi%trado% en e# Internet como un %er-idor de produccin3 como %on #o% %er-idore% <eb + emai#" Cuando u%uario% e.terno% acce%an e# %er-idor <eb3 e##o% en rea#idad e%t/n acce%ando e# %er-idor pro.+" 4# %er-idor pro.+ entonce% contacta e# %er-idor <eb ,ue re%ide detr/% de# &ire!a##" 4%ta con&iguracin pre-iene a #o% u%uario% p2b#ico% de contactar e# %er-idor <eb directamente" 1i un crac6er intenta -io#entar nue%tro %er-idor <eb %#o #ograr/ entrar a# %er-idor pro.+" 4# %er-idor pro.+ no contiene ninguna in&ormacin importante + puede %er reemp#a0ado r/pidamente con otro" Un arreg#o de pro.+ e% con&igurar -ario% pro.+% a ,ue act2en + re%pondan como un %#o" Lo% arreg#o% pro.+% tambi5n %on conocido% como c#u%ter de pro.+ + %on u%ado% para pro-eer ba#anceado de carga" Cuando %e co#ocan -ario% pro.+ re-er%o 7unto%3 e# tota# de in&ormacin ,ue pueden a#macenar en cache e% aumentada" 4# grupo tambi5n puede %up#irno% con to#erancia de &a##a en e# ca%o de ,ue un pro.+ %a#ga de #'nea o %ea -io#entado por un crac6er" La de&inicin de arreg#o de pro.+ e% me7or ap#icada% a #a con&iguracin de -ario% %er-idore% pro.+ actuando como un %#o3 %i cambia% #a con&iguracin en uno #a cambiar'a% en todo% %imu#t/neamente" 4%to% pro.+% tambi5n %on u%ado% mu+ a menudo en ambiente% de pro.+ re-er%o%" Cuando %e u%an arreg#o% de pro.+ como %o#ucin3 #o% u%uario% pueden acce%ar m/% de un %er-idor <eb a #a -e0" Me ,# Reg0"# Por #o genera# un &ire!a## orientada a pro.+ re,uiere meno% reg#a% ,ue un &i#trador de pa,uete%" Crear #a% reg#a% tambi5n por #o genera# toma meno% tiempo" De#Ae !"5"# +e0 SerA(+,r Pr,%- >G"!eM"- +e0 N(Ae0 +e A/0()")(* ? Una de #a% de%-enta7a% de #o% gate!a+% de# ni-e# de ap#icacin e% tener ,ue crear #o% &i#tro% para #a% http //!!!"codigo#ibre"org ;GO
Antonio Perpian
ap#icacione% )CP/IP" Cada ap#icacin deber/ %er con&igurada por %eparado" Dado e# gran n2mero de ap#icacione% ,ue pueden %er u%ada% %obre e# )CP3 %e re,uiere de #o% admini%tradore% de &ire!a##% tener un e.ten%o conocimiento de toda% #a% ap#icacione% + %u% con&iguracione% de cada una para crear #o% &i#tro% de %eguridad" 4n a#guno% ca%o%3 %er-idore% pro.+% en e%pec'&ico% deber/n %er creado% para %er-ir de pro.+ para una ap#icacin 2nica" Adem/%3 deber/ con&igurar -aria% ap#icacione% + %i%tema% operati-o% para ,ue &uncionen con #o% gate!a+% de# ni-e# de ap#icacin" Como re%u#tado3 puede %er ,ue %e comprometa con cua#,uier otra %o#ucin3 e%pecia#mente %i tiene ,ue in%ta#ar un c#iente de# %er-idor pro.+ en ciento% de %i%tema% de %u red" Probab#emente #a m/% grande% de #a% #imitacione% de un gate!a+ a ni-e#>ap#icacin e% ,ue re,uiere de #a in%ta#acin de %o&t!are e%pecia#i0ado en cada %i%tema ,ue acceda a #o% %er-icio% Pro.+" Por e7emp#o3 e# acce%o de )e#net -'a gate!a+ a ni-e#>ap#icacin demanda modi&icar #a conducta de# u%uario de%de e# momento en ,ue %e re,uiere de do% pa%o% para hacer una cone.in me7or ,ue un pa%o" Como %iempre3 e# %o&t!are e%pecia#i0ado podr/ %er in%ta#ado en un %i%tema terminado para hacer #a% ap#icacione% de# gate!a+ tran%parente% a# permitir a #o% u%uario% e%peci&icar e# %er-idor de de%tino3 me7or ,ue e# propio3 en un comando de te#net" C, '(gur")(* +e0 C0(e !e C#iente% ,ue u%an %er-idore% pro.+ para #a conecti-idad remota deben %er con&igurado% para u%ar e# pro.+ + tener e%peci&icado todo% #o% par/metro% correcto%" 1i #o% u%uario% interno% u%an di&erente% ap#icacione% para cada ap#icacin de Internet3 como %on na-egadore%3 c#iente% de correo3 c#iente% F)P3 etc3 cada ap#icacin deber/ %er con&igurada para ,ue u%e e# %er-idor pro.+ para tener e# acce%o remoto" Cierta% ap#icacione% no hacen inter&ace con ning2n %er-idor pro.+" A/0()")(, e# NueA"# - 0,# V(ru# La% nue-a% ap#icacione% ,ue %e de%arro##an deben %er e%crita% para ,ue puedan acce%ar a %er-idore% remoto% a tra-5% de %er-idore% pro.+" Cuando u%amo% una ap#icacin ante% de actua#i0ar a una nue-a -er%in debemo% a%egurarno% ,ue &uncionar/ con nue%tro %er-idor pro.+" Aun,ue #a preocupacin de -iru% en GNU/Linu. + toda #a &ami#ia UNiX e% no e.i%tente3 como podemo% en&rentar una %ituacin de un ambiente de %i%tema% ,ue a2n %on a&ectado% por -iru% + a# crear %u %er-idor pro.+ debe inc#uir #a de&inicin de -iru% m/% actua#i0ada" 1i tiene %u pro.+ e%caneado por -iru% para no a&ectar %i%tema% operati-o% %u%ceptib#e% a ata,ue% de -iru% a%eg2re%e u%ar anti-iru% actua#i0ado" Ve0,)(+"+ Como #o% &ire!a## orientada% a pro.+ entran pro&undamente en #o% pa,uete% IP3 e##o% u%an m/% recur%o% de# %i%tema" 4n %itio% !eb mu+ -i%itada%3 un &ire!a## orientado a pro.+ %e puede con-ertir en una perdida m/% en -e0 de un po%iti-o3 +a ,ue e%ta puede re%u#tar en #atencia inaceptab#e" La reg#a de norma a# recomendar &ire!a##% orientada% a pro.+ e% ,ue e##a% caen bien en -e#ocidade% de )?" 4% prudente adem/%3 combinar un &i#trado de pa,uete con un pro.+ para a%' reducir tr/&ico innece%ario + %obrecarga en e# pro.+" S.u(+ 4# 1DUID e% un %er-idor pro.+ de 9))P de a#to poder + me7or de todo LI:843 ,ue puede hacer cache de data de Internet" 4%te #e permite a admini%tradore% pro-eer un a#to ni-e# de %eguridad de Internet en %i%tema% de tipo UNiX" 1,uid puede %er u%ado para pa%ar pa,uete% de Internet o para &i#trar + contro#ar acce%o a Internet" 4# 1,uid e% un %er-idor pro.+ &#e.ib#e ,ue %oporta mucho% protoco#o%3 como %on F)P3 <AI13 Gopher + 11L3 adem/% de media %treaming" Adem/% de %er un %er-idor de pro.+ cache comp#etamente con&igurab#e3 1,uid e%ta eti,uetado como e# <eb Ob7ect Cache por %u capacidad de mane7ar #a ma+or'a de tr/&ico de <eb" La NF1 http //!!!"codigo#ibre"org ;$G
Antonio Perpian
(Nationa# 1cience Foundation* e% e# #'der de# de%arro##o + pro-ee todo% #o% &ondo% para e# pro+ecto 1DUID" Aun,ue origina#mente &ue de%arro##ado %obre m/,uina% de Digita# UNiX3 e%t/ di%eado para e7ecutar%e %obre cua#,uier %i%tema operati-o tipo UNiX moderno" C, '(gur"r S.u(+ e GNU/L( u% 4# 1,uid po%ee un n2mero de archi-o% de con&iguracin3 #o% cua#e% por #o regu#ar %e encuentran en e# directorio /etc/%,uid" Ca%i toda #a con&iguracin de %,uid %e ##e-a a cabo en e# archi-o %,uid"con&" Aun,ue e# archi-o %,uid"con& tiene a#rededor de ;GG opcione%3 %#o a#guna% $G deben %er cambiada% para ,ue e%te %e con-ierta en operaciona#" Por #o meno% e# na-egador por de&ecto debe %er cambiado3 +a ,ue %,uid por de&ecto deniega acce%o a todo% #o% na-egadore%" 1i e%ta eti,ueta no e% cambiada %,uid negar/ toda% #a% peticione%" 4ti,ueta% %on u%ada% para e%peci&icar opcione% de con&iguracin dentro de# archi-o de con&iguracin" Un e7emp#o de una opcin de con&iguracin e% mo%trada a,u' G!!/R/,r! @K77 Z E#/e)('()" e0 /uer!, +, +e #.u(+ e A3" 0"# re#/ue#!"# G!!/ 4# 1,uid puede %er con&igurado como un %er-idor pro.+ tran%parente" Cuando %e encuentra en e%te modo3#o% na-egadore% pueden u%ar e# cache de# pro.+ %in ninguna con&iguracin" 4# 1,uid recoge #a% peticione% + guardar/ en e# cache #a% re%pue%ta% %in e# conocimiento de# u%uario3 a%' operando tran%parentemente" E#!"40e)er e0 Puer!, HTTP 4# 1,uid acepta peticione% 9))P en e# puerto ?$;B por de&ecto" Pero3 e# puerto BG e% e# m/% u%ado3 para #a% peticione% 9))P" U%e #a eti,uete httpgport para cambiar e# puerto por de&ecto ,ue 1,uid u%a" 4# 1,uid puede e%cuchar a m2#tip#e% puerto%3 pero todo% #o% puerto% deben e%tar #i%tado en una mi%ma #'nea" A continuacin un e7emp#o de con&igurar m/% de un puerto http en una mi%ma #'nea G!!/R/,r! 1J77 @K77 EE77 JK77 La ma+or'a de admini%tradore% e#igen un n2mero de puerto ba7ito3 como e% e# puerto BG3 por ra0one% de %eguridad" Pero3 1,uid debe %er iniciado como root %i %e e#ige un n2mero de puerto ba7o" 1i %e e#i7e un n2mero de puerto a#to como por e7emp#o e# ?G?$3 entonce% 1,uid no tiene ,ue %er iniciado como root" Lo% puerto% por deba7o de #o% $G;@ %on u%ado% para pro-eer #o% %er-icio% b/%ico% + %on con&iado%I a%' ,ue3 un admini%trador debe iniciar %er-icio% en e%to% puerto%" Lo% puerto% por encima de# $G;@ %on con%iderado% %in con&ian0a3 por e%to permiten ,ue cua#,uier u%uario inicie %er-icio% en e##o%" 47ecutar e# 1,uid en #o% puerto% a#to% puede #imitar #a %eguridad por,ue m/% u%uario% pueden ad,uirir acce%o" Pero3 %i 1,uid no %e e7ecuta como root3 e# dao a# %i%tema e% #imitado %i e.i%te una debi#idad en e# cdigo de# %er-idor" C, '(gur"r e0 N"Aeg"+,r Como e# 1,uid deniega acce%o por de&ecto a todo% #o% na-egadore% <eb3 #a primera opcin ,ue debe con&igurar e% #a de permitir cone.in a #o% na-egadore%" e%to %e e&ect2a en #a %eccin de contro# de# archi-o de con&iguracin de 1,uid e# %,uid"con&" Luego e# na-egador de cada e,uipo ho%t en #a red debe %er con&igurado para u%ar e# 1,uid para %u% peticione% de Internet" Lo% na-egadore% pueden %er con&igurado% para prop%ito% admini%trati-o% o de tarea% de u%uario% norma#e%" Para #a% tarea% de #o% u%uario%3 #a con&iguracin m/% %imp#e %#o re,uiere un nombre de ho%t + e# puerto en e# cua# e# %er-idor %e encuentra" 4# 1,uid debe tambi5n %er in&ormado cua# data e# debe a#macenar en cache" Lo% admini%tradore% deben con&igurar #a% propiedade% cache de# 1,uid + #a% re%triccione% de Internet para #imitar e# acce%o a #o% u%uario% a archi-o% + directorio%" 4%te debe %er en con7unto con #a con&iguracin de #o% u%uario%" 9a+ di&erencia entre #o% re,uerimiento% de di&erente% na-egadore% <eb di%ponib#e%3 pero todo% re,uieren minimamente un nombre de ho%t + un puerto para ,ue e# na-egador uti#ice un pro.+ para acce%ar #o% %er-idore% remoto%" http //!!!"codigo#ibre"org ;$$
Antonio Perpian
C,rre, e&"(0 +e0 A&( (#!r"+,r 4# 1,uid permite e%peci&icar e# correo e#ectrnico de# admini%trador" 1i e# 1,uid &a##a3 %e #e en-iar/ un correo a# admini%trador a e%ta direccin" Deber/ u%ar #a eti,ueta cachegmgr para e%peci&icar e# emai# de# admini%trador3 a,u' un e7emp#o para i#u%trar )")GeR&gr Me4&"#!erX),+(g,0(4reI,rg ID +e0 U#u"r(, - +e0 Gru/, 4# 1,uid e7ecutar/ como root %i %e e%t/ e7ecutando en un n2mero de puerto ba7o" Pero3 %abe% ,ue una buena pr/ctica e% no correr programa% como root a# meno% ,ue no %ea ab%o#utamente nece%ario" A%' ,ue 1,uid intentar/ cambiar %u propio UID + GID de%pu5% de haber iniciado" La% opcione% en e# archi-o de con&iguracin deben %er e%tab#ecida% manua#mente %i e# programa %e e7ecuta como root" 47ecutar a 1,uid como root puede #imitar e# chance de &a##a% de %eguridad" C, !r,0 +e A))e#, A tra-5% de #a %eccin de contro# de acce%o3 un admini%trador puede contro#ar #o% protoco#o% ,ue 1,uid re%ponder/ peticione%" 4%ta %eccin #e permite a #o% admini%tradore% e%tab#ecer #o% protoco#o% ,ue #o% c#iente% e%t/n permitido% a u%ar3 #a autenti&icacin de# u%uario + e# acce%o de peer% (Cache peer e% #o ,ue permite ,ue otro% pro.+% %e comuni,uen con 1,uid*" Un e7emp#o de una %eccin de contro# de acce%o ,ue e%peci&ica cache peer% + e# acce%o de 9))P %e mue%tra a,u' ade#ante
W Para e%tab#ecer un cache peer W La %inta.i% para #a eti,ueta de# cache peer e% W cachegpeergacce%% cache>ho%t ea##o!/den+f ejf#i%ta>acce%o>nombre% cachegpeergacce%% Ka,uinaG$ a##o! manager cachegpeergacce%% Ka,uinaG$ a##o! j11Lgport% WCon&iguracin de acce%o http httpgacce%% a##o! admini%trador #oca#ho%t httpgacce%% den+ admini%trador httpgacce%% den+ j1a&egport% httpgacce%% a##o! CONN4C) j11Lgport% httpgacce%% den+ a##
I&/0e&e !")(* +e Segur(+"+ ), S.u(+ La %eguridad interna de 1,uid e% manipu#ada a tra-5% de #a %eccin de contro# de acce%o de# archi-o de con&iguracin %,uid"con&" A,u' #o% u%uario% pueden b#o,uear e# acce%o por dominio3 direccin IP + m5todo% de autenti&icacin" Con e# u%o de autenti&icacin de u%uario% + e# b#o,ueo de Internet3 e# 1,uid puede pro-eer %eguridad para un %er-idor" Pero3 un %er-idor pro.+ cache nunca %e o&rece como una %o#ucin 2nica3 %ino acompaada con otro pa,uete de %o&t!are3 como %on #o% &ire!a##%" Debido a e%to3 #a ma+or'a de con&iguracione% de 1,uid re,uieren mu+ poca imp#ementacin de %eguridad interna" C, !r,0 +e A))e#, ), 2(reM"00# 4# 1,uid puede %er u%ado dentro o detr/% de# &ire!a##" Cuando e# 1,uid e% u%ado dentro de# &ire!a##3 e# e% con%iderado un ho%t con&iado3 e# cua# e% permitido conectar%e a #o% %er-idore% de recur%o%" La% peticione% de #o% u%uario% %e pa%an de%de e# 1,uid a# &ire!a## + #a% re%pue%ta% %on pa%ada de%de e# &ire!a## a# 1,uidI e# trata a# &ire!a## como un %er-idor pro.+" 4n e%te e%cenario3 cuando e# 1,uid e% u%ado detr/% dentro de# &ire!a##3 e# &ire!a## pro-ee #a %eguridad para e# 1,uid" Pero3 como hemo% di%cutido3 1,uid e% capa0 de pro-eer %u propia %eguridad3 a tra-5% de %u caracter'%tica de contro# de acce%o" Cuando un &ire!a## pa%a #a% peticione% a un %er-idor pro.+3 e%ta caracter'%tica e% ##amada un hando&& (entrega*" 1i e# &ire!a## no %oporta hando&&%3 e% di&'ci# para #o% c#iente% interno% conectar%e a# mundo e.terno" 1i http //!!!"codigo#ibre"org ;$;
Antonio Perpian
e# 1,uid e% co#ocado &uera de# &ire!a##3 entonce% #a% peticione% de #o% u%uario% %on pa%ada% de%de e# &ire!a## a# 1,uidI e%te proce%o re,uiere ,ue e# &ire!a## en-'e una peticin 9))P a# 1,uid" 1i e# &ire!a## no %oporta hando&&%3 #a% peticione% no pa%ar/n" 4n e%te e%cenario con e# 1,uid &uera de# &ire!a##3 e# &ire!a## no pro-ee %eguridad para e# 1,uid" Aun,ue e# 1,uid tiene #a% caracter'%tica% de b#o,uear + autenti&icar3 no e% una tarea %imp#e #a de con&igurar un ni-e# a#to de %eguridad %i e%te e% co#ocado &uera de# &ire!a##" 4# 1,uid debe %er con&igurado para aceptar peticione% %#o de%de e# &ire!a## #oca# + e%te &ire!a## debe %er tratado como un ho%t %in con&ian0a (*ho%t %in con&ian0a" Adem/% #o% na-egadore% deben %er con&igurado% para u%ar e# &ire!a## como un pro.+3 no como 1,uid" C"r")!er3#!()"# AA" 6"+"# La ma+or'a de #o% %i%tema% de &ire!a##% %on una combinacin de &i#trado de pa,uete%3 gate!a+% de ni-e# de circuito + de ni-e# de ap#icacin" 4##o% e.aminan #o% pa,uete% indi-idua#mente o como un men%a7e por comp#eto3 #uego uti#i0an un con7unto de reg#a% prede&inida% para en&or0ar #a po#'tica% de %eguridad" 1#o a,ue##o% pa,uete% ,ue %e in-o#ucran en acti-idade% aceptada% %on permitido% entrar + %a#ir de #a red" A# imp#ementar una e%trategia de &ire!a##3 %e re,uerir/n #o% tre% tipo% de &ire!a##%" Lo% &ire!a##% m/% a-an0ado% pro-een &unciona#idade% adiciona#e% ,ue pueden me7orar #a %eguridad de %u red" Aun,ue no %iempre e% re,uerido3 cada &ire!a## debe imp#ementar cierto tipo de e%critura de #og3 aun,ue %ea uno mu+ b/%ico" Au!e !('()")(* 4# &ire!a## e% e# %itio #gico para co#ocar un m5todo de autenti&icacin ,ue #e hace &a#ta #a% e%peci&icacione% IP" 1e puede re,uerir de un to6en (&icha* de# &ire!a## o una b2%,ueda in-er%a de una direccin IP" Una b2%,ueda in-er%a -eri&icar/ ,ue e# u%uario de -erdad e%t/ ingre%ando de%de %u reportado origen" 4%ta t5cnica e&ecti-amente contrarre%ta #o% ata,ue% de IP %poo&ing" Lo% &ire!a##% tambi5n permiten #a autenti&icacin de #o% u%uario%" Lo% gate!a+% de# ni-e# de ap#icacin o #o% %er-idore% pro.+ traba7an n #a% cuatro% capa% de# )CP/IP" La ma+or'a de #o% %er-idore% pro.+ pro-een una integracin con #a ba%e de dato% de #o% u%uario%" A# incorporar #a ba%e de dato% de #o% u%uario% e%to #e da a #o% %er-idore% pro.+ m/% opcione% de per%ona#i0acin a# inc#uir #a autenti&icacin de #o% u%uario%" 4# pro.+ puede adem/% u%ar #a ba%e de dato% para pro-eer diario% o #og% m/% deta##ado% a# %up#ir me7or in&ormacin ba%ada en #o% u%uario% + %u% membre%'a en #o% grupo%" L,g# - A0"r&"# Lo% enrutadore% de &i#trado de pa,uete% o %creening por #o genera# no habi#itan #o% #og% (diario%* por de&ecto para e-itar degradacin de# rendimiento" Nunca a%uma ,ue ninguna de %u% &ire!a##% autom/ticamente e%cribir/ #a% acti-idade% a #og%" Lo% router% de &i#trado pueden e%cribir a# diario %o#amente #a in&ormacin b/%ica3 mientra% ,ue #o% gate!a+% de ni-e# de circuito e%criben #a mi%ma in&ormacin pero inc#u+en adem/% cua#,uier tran%accin NA)" Como u%ted e%t/ creando un punto de cho6e en %u &ire!a##3 un crac6er deber/ romper e%te punto ante% de pa%ar a %u red interna" 1i u%ted co#oca %u di%po%iti-o% ,ue a#macena #o% #og% en e# &ire!a## mi%mo3 #o m/% probab#e ,ue capturar/ toda #a acti-idade% de# u%uario3 inc#u+endo #a% de# crac6er" U%ted a tra-5% auditoria% puede monitorear #a% accione% de# crac6er + puede tener #a in&ormacin de %u acti-idad" Kucha% &ire!a##% #e permiten precon&igurar re%pue%ta% a acti-idade% no aceptab#e%" La% do% accione% m/% comune% %on ,ue e# &ire!a## interrumpa #a cone.in )CP/IP o o autom/ticamente en-iar un men%a7e de a#arma" Kecani%mo de a#arma di%ponib#e% inc#u+en a#erta% de audio + gr/&ico% de%de %u computador" Kucha% &ire!a##% http //!!!"codigo#ibre"org ;$?
Antonio Perpian pueden tambi5n en-iar men%a7e% a beeper% + ce#u#are%"
DISEjO E IMPLEMENTACION DE 2IREWALLS Una -e0 +a ha contabi#i0ado %u% recur%o% + nece%idade%3 ha+a de&inido una po#'tica de %eguridad entonce% e%tar/ #i%to para co#ocar %u% recur%o%" La co#ocacin de %u% recur%o% tienen un e&ecto important'%imo en %u habi#idad e proteger %u% -iene%" 4# a%pecto m/% importante de# co#ocamiento de# &ire!a## e% #a creacin de #o% punto% de cho6e" Kientra% meno% punto% &'%ico% de acce%o a %u% recur%o% e%t/n di%ponib#e% de%de e# Internet3 m/% &/ci# %er/ contro#ar#o" La %eguridad de un %itio de Internet e% mucho meno% demandante ,ue #a %eguridad interna de una red +a ,ue no no% permite crear mucho% punto% de cho6e" Direccionando toda #a in&ormacin entrante + %a#iente a un %o#o punto o a meno% punto%3 u%ted puede concentrar %u mecani%mo de proteccin" 4%ta concentracin #e permitir/ en&ocar todo %u e%&uer0o en un %#o punto3 rindi5ndo#e un ma+or ni-e# de %eguridad con e# mi%mo e%&uer0o" Otro bene&icio de# u%o de punto% de cho6e e% &aci#idad de admini%tracin de# %ite debido a ,ue %abre e.actamente donde entra + %a#e #a in&ormacin de %u %i%tema" 1u% me7ore% e%&uer0o% + herramienta% de monitoreo deben concentrar%e en e%to% punto% de cho6e" La co#ocacin e% un recur%o debido a ,ue %i no co#oca %u %i%tema correctamente3 entonce% nece%itar/ m/% e,uipo para #ograr #o% ni-e#e% de %eguridad nece%ario% para operar" Como #o% e,uipo% %on co%to%o% + ha+ ,ue mantener#o%3 deber/ tomar e# tiempo para p#ani&icar e.actamente como co#ocar/ #o% recur%o%" Lo% %iguiente% tema% %er/n di%cutido% en e%ta %eccin Fi#trado de Pa,uete% =enta7a% + De%-enta7a% de# Fi#trado de Pa,uete% iptab#e% Di%eo de #a Imp#ementacin de un Fire!a## 2(0!r"+, +e P".ue!e# 4# concepto de &i#trado de pa,uete e% &/ci# de e.p#icar" La data e% en-iada a tra-5% de #a red en &orma de pa,uete% ,ue contienen in&ormacin de# origen de# pa,uete3 punto de de%tino + protoco#o" Un pa,uete tambi5n contiene campo% importante% en %u tran%mi%in3 como e% e# n2mero de# pa,uete3 e# cua# e% u%ado %ecuencia#mente para reem%amb#ar #a data a# %er recibida" Un &i#trador de pa,uete e% un di%po%iti-o ,ue in%pecciona cada pa,uete por un contenido prede&inido" Aun,ue no pro-ee proteccin contra errore%3 por #o gener#a %iempre e% #a primera #'nea de de&en%a" Lo% ingeniero% &i#tran pa,uete% en e# enrutador e.terno3 e# cua# de%echa cierto tipo de acti-idad por comp#eto" 4%te m5todo e% 2ti# para imp#ementar amp#ia% re%triccione%" Cuando &i#tramo% pa,uete% en un enrutador3 e% por #o genera# un %creeening router" 1creening router e% otro %obre nombre de #o% &ire!a## de &i#trado de pa,uete" De%de e# 6erne# ;"$"$G; e# &i#trado de pa,uete e% inc#uido internamente" :P,r Bu; 2(0!r"r1 Lo% pa,uete% ,ue %on &i#trado% incrementan #a %eguridad" Aun,ue toda% #a% cuenta% de un %i%tema po%een contra%ea%3 un admini%trador puede ,uerer pre-enir ,ue un &ora%tero u%ando #o% %er-icio% &tp o te#net acce%e e# %i%tema" Ata,ue% ma#icio%o%3 como %on Do1 + ata,ue% de ping &#ood3 pueden %er pre-enido% con #a ap#icacin correcta de &i#trado de pa,uete%" Otra ra0n de# u%o de &i#trado de pa,uete% e% e# contro# de #a in&ormacin" 4# &i#trado de pa,uete% puede %er u%ado para b#o,uear correo no de%eado ante% de ,ue ##egue a# inbo. de# u%uario" U%uario% de# %i%tema tambi5n http //!!!"codigo#ibre"org ;$@
Antonio Perpian
pueden %er prohibido% de u%ar cierto% %itio% !eb o tipo% de protoco#o% a tra-5% de# u%o de# &i#trado de pa,uete%" Pr,)e#,# 4# &i#trado de pa,uete% &unciona en #a capa de# 8ed de# mode#o O1I" Kucho% &i#tro% de pa,uete% pueden u%ar archi-o% de te.to ,ue han %ido creado% por un admini%trador de %eguridad" Lo% archi-o% de te.to e%t/n compue%to de reg#a% ,ue %on #e'da% %ecuencia#mente #'nea por #'nea" Cada reg#a contiene entrada% e%pec'&ica% para a%i%tir a determinar como un pa,uete entrante debe %er mane7ado" La% reg#a% pueden %er ap#icada% ba%ada en #a direccin IP &uente + de%tino" Lo% &i#tro% de pa,uete% e%pec'&ican #o% puerto% )CP + UDP + por e%to pueden %er ob7eto de in%peccin" Lo% pa,uete% de &i#trado %on #e'do% + %on %u7eto% a #a% reg#a% a -ece de una por una" Una -e0 un pa,uete &a##a cua#,uier parte de un &i#tro3 #a reg#a %iguiente no %er/ #e'da" 8ecuerde con%iderar e# orden de #a% reg#a% dentro de# &i#tro" Un &i#trado de pa,uete pro-ee do% accione%3 permitir o b#o,uear (a##o!/den+*" La accin de a##o! enruta e# pa,uete %i %e con&orm a toda% #a% reg#a%" La accin de b#o,uear %e de%hacer/ de todo% #o% pa,uete% %i no %e con&orma a #a% reg#a%" Lo% &i#tradore% de pa,uete% de%cartaran cua#,uier pa,uete a meno% ,ue e%te ha %ido permitido por una reg#a" Reg0"# - C"&/,# Lo% &i#trado% de pa,uete% u%an cadena% (chain%* de reg#a% para determinar ,ue pa,uete para por e# &ire!a##" Una cadena de reg#a% e%t/ compue%ta de -ario% campo%" Imp#ementacione% e%pec'&ica% deben decir#e a# enrutador ,ue &i#tre #o% pa,uete% IP ba%ado en #o% %iguiente% campo% Direccin IP Origen Direccin IP De%tino Puerto )CP/UDP Origen Puerto )CP/UDP De%tino GNU/Linu. u%a cuatro cadena% principa#e%
( /u! Para #o% pa,uete% -ia7ando hacia e# ho%t ,u!/u! Para #o% pa,uete% -ia7ando de%de e# ho%t ',rM"r+ Para #o% pa,uete% ,ue &ueron recibido% por e# ho%t + %er/n en-iado% por e# ho%t u#er +e'( e+ Cadena creada por e# u%uario ,ue recibe e# pa,uete de #a% tre% cadena% principa#e% para proce%ar#a"
Cuando un pa,uete -ia7a %e con&ronta contra #a cadena + e% re-i%ado contra #a% reg#a%" 1i e# pa,uete igua#a a una de #a% reg#a%3 entonce% #a accin por de&ecto o e# ob7eti-o e% tomada" La% cadena% de reg#a% permiten &i#trado comp#e7o de #a data ,ue entra + %a#e de un %i%tema mientra% ,ue e&ectuar #a in%ta#acin + mantenimiento de e##a% permanece %imp#e" 4# &i#trado de pa,uete% traba7a me7or para re%tringir cierta% direccione% IP + ap#icacione% )CP + UDP de entrar + %a#ir de %u red" Por e7emp#o3 para de%habi#itar e# %er-icio de te#net entrante a ho%t% interno% de%de Internet3 podemo% crear una reg#a de &i#trado de pa,uete" Anteriormente di%cutimo% como traba7a e# )CP/IP + como e# te#net uti#i0a e# puerto ;? )CP" 4n un &i#trado de pa,uete ,ue permite todo acce%o por de&ecto3 una reg#a de &i#trado in%ertada para detener te#net %e parece a #a entrada en #a %iguiente tab#a No" 8eg#a Accin IP Origen IP De%tino Puerto Origen Puerto De%tino Protoco#o $ ; Di%card Y Y ;? Y )CP Di%card Y Y Y ;? )CP La in&ormacin #i%tada en #a tab#a #e dice a# enrutador ,ue de%carte (di%card* cua#,uier pa,uete ,ue -enga o -a##a a# puerto )CP ;?" Un a%teri%co (Y* indica cua#,uier -a#or en un campo en particu#ar" 4n e%te e7emp#o http //!!!"codigo#ibre"org ;$J
Antonio Perpian
anterior3 %i un pa,uete e% pa%ado por #a reg#a ,ue tiene e# ;? como puerto de origen3 e%te %er/ de%cartado inmediatamente" 1i un pa,uete con e# puerto ;? como de%tino e% pa%ado por #a reg#a3 e%te %er/ de%cartado %o#amente de%pu5% ,ue #a %egunda reg#a %ea ap#icada" )odo% #o% otro% pa,uete% %er/n de%cartado%" Otro% %er-icio% de Internet re,uieren de entrada% m/% a-an0ada% en #a% reg#a%" Por e7emp#o3 e# F)P no pa%i-o uti#i0a #o% puerto% )CP ;G + ;$" 4n un &i#trado de pa,uete ,ue proh'be todo e# acce%o )CP a# meno% ,ue e%te permitido e%pec'&icamente3 %u &i#tro debe %er a#go parecido a# %iguiente" La% entrada% de%p#egada% en e%ta tab#a no% mue%tra una po%ib#e reg#a de# F)P" La reg#a $ permite a cua#,uier direccin IP ,ue empiece con #a direccin de #a red $O;"$HB"$G"G iniciar una %e%in )CP ,ue %e origine de%de cua#,uier puerto a cua#,uier de%tino en cua#,uier otro puerto" La %egunda reg#a permite a cua#,uier direccin IP remota ,ue %e origine de%de e# puerto ;G a conectar%e a cua#,uier direccin interna ,ue empiece con #a direccin de red $O;"$HB"$G"G en cua#,uier puerto" No" 8eg#a Accin IP Origen IP De%tino Puerto Origen Puerto De%tino Protoco#o $ ; A##o! A##o! $O;"$HB"$G"G Y Y $O;"$HB"$G"G Y ;G Y Y )CP )CP
? Di%card Y Y Y Y )CP La ra0n ,ue #a reg#a ; no puede #imitar #a direccin de# puerto de de%tino e% ,ue #o% c#iente% pa%i-o% F)P o u%an e# puerto ;G" Cuando un c#iente pa%i-o F)P inicia una %e%%in F)P3 e# c#iente uti#i0a un n2mero de puerto ,ue &u5 a%ignado a e# din/micamente ##amado un puerto e&'meroI con e# con7unto de &i#tro% anterior3 e# %er-idor remoto F)P permitir'a a cua#,uier di%po%iti-o dentro de #a red $O;"$HB"$G"G %iempre + cuando e# pa,uete %e origino de%de e# puerto ;G" Un crac6er con e.periencia puede e.p#otar e%ta reg#a para acce%ar -irtua#mente cua#,uier recur%o dentro de %u red" Un con7unto me7or a2n de reg#a% de &i#trado de pa,uete% F)P %e mue%tra en e%ta tab#a" No" 8eg#a Accin IP Origen IP De%tino Puerto Origen Puerto De%tino Protoco#o $ ; ? A##o! :#oc6 A##o! $O;"$HB"$G"G Y Y Y $O;"$HB"$G"G $O;"$HB"$G"G Y ;G ;G ;$ h$G;@ Y )CP )CP )CP AC\X$
La reg#a $ permite a cua#,uier ho%t con #a direccin de red $O;"$HB"$G"G iniciar una %e%in )CP en cua#,uier direccin IP de de%tino en e# puerto ;$" La %egunda reg#a b#o,uea cua#,uier pa,uete ,ue origine de%de cua#,uier direccin remota con un puerto de origen n2mero ;G + contactando un ho%t con una direccin de red $O;"$HB"$G"G en cua#,uier puerto menor ,ue $G;@" La tercera reg#a #e permite a cua#,uier direccin remota con un puerto de origen ;G para contactar cua#,uier ho%t con una direccin de red $O;"$HB"$G"G en cua#,uier puerto" 8ecuerde ,ue #a% reg#a% %on e7ecutada% %ecuencia#mente" Puede parecer ,ue #a reg#a ? contradice #a reg#a ;" 1i cua#,uier pa,uete -io#a #a reg#a ;3 e%te %er/ autom/ticamente de%cartado + #a reg#a ? nunca %er'a e7ecutada" La reg#a ? a2n e% nece%aria por,ue #o% &i#tradore% de pa,uete% traba7an e.c#u+endo todo e# tr/&ico entrante + %a#iente a# meno% ,ue ta# tr/&ico ha+a %ido e%pec'&icamente permitido por una reg#a" E5er)()(, P$1: D(#eH"r u 2(reM"00 +e 2(0!r"+, +e P".ue!e# 4n e%te e7ercicio di%earemo% un &ire!a## de &i#trado de pa,uete%" La% %o#ucione% a e%te e7ercicio %e encuentran en e# Ap5ndice A" $" Di%ee una reg#a de &i#trado de pa,uete ,ue proh'ba cone.ione% a# puerto BG"
;$H
Antonio Perpian
Ve !"5"# - De#Ae !"5"# +e0 2(0!r"+, +e P".ue!e# La -enta7a principa# de u%ar e# &i#trado de pa,uete% e% ,ue e# di%po%iti-o + e# %o&t!are ,ue %e nece%ita para imp#ementar#o +a #o m/% %eguro ,ue u%ted #o po%ea todo" La ma+or'a de #o% enrutadore% pueden &i#trar pa,uete%" da ,ue todo e# e,uipo #o po%eemo% tambi5n a+uda en e# ahorro de dinero" Lo 2nico ,ue ,ui0/% deber/ ad,uirir e% conocimiento + una -e0 %epa imp#ementar #a% reg#a%3 u%ted podr/ empe0ar a contro#ar e# acce%o" Lo% enrutadore% capace% de &i#trar pa,uete% o %creening router%3 norma#mente %on #a primera #'nea de de&en%a en #a imp#ementacin de un %i%tema de &ire!a##" 4# &i#trado de pa,uete% puede b#o,uear ap#icacione% por comp#eto + ID de rede%" Por e7emp#o3 un &i#trado de pa,uete puede prohibir todo e# tr/&ico a un ho%t en particu#ar" 4%ta re%triccin puede pre-enir a un crac6er de poder contactar cua#,uier otro ho%t dentro de #a red interna" Pu !,# D;4(0e# 4# ma+or prob#ema con e# &i#trado de pa,uete% o %creening router e% ,ue e##o% no pueden di%criminar de #a di&erencia entre un buen pa,uete + uno ma#o" 1i un pa,uete pa%a toda% #a% reg#a%3 %er/ enturado a %u de%tino" Lo% &i#tradore% de pa,uete% no reconocen %i #o% pa,uete% contienen data ma#icio%a o no" 4##o% %on %u%ceptib#e% a a cdigo embebido en pa,uete% e%t/ndare%" U%ando un F)P3 un crac6er puede embeber un programa para e%canear todo% #o% IP de #a red interna + a%' crear un mapa" 1iempre + cuando e# crac6er inici e# pa,uete con e# puerto de origen n2mero ;G3 entonce% e# &i#trador de pa,uete pa%ar'a todo% #o% pa,uete%" Otra debi#idad a%ociada con #a anterior3 e% ,ue para crear &i#tro% de pa,uete%3 re,uiere conocimiento e.ten%o de )CP/IP" La ma+or'a de ap#icacione% %on ba%ada% en c#iente/%er-idor3 a%' ,ue #o% &i#tro% nece%itar/n reg#a% m2#tip#e% para mane7ar%e con #a comunicacin c#iente/%er-idor" Lograr genera#i0ar #a% reg#a% de &i#trado e% di&'ci#3 +a ,ue #a ma+or'a de ap#icacione% )CP/IP tienen re,uerimiento de puerto e%pecia# )CP/UDP" Otro prob#ema con e# &i#trado de pa,uete e% ,ue u%ted por #o genera# debe crear m/% de $GG reg#a% para #imitar e# acce%o a #a red" Para crear toda% e%ta% reg#a% ha+ ,ue dedicar#e tiempo + adem/% %e comp#ican a medida ,ue crecen e# n2mero de reg#a%" La 2#tima debi#idad %igni&icati-a de# &i#trado de pa,uete e% %u %u%ceptibi#idad a #o% ata,ue% %poo&ing" 4# 1poo&ing (di%&ra0a %u direccin de origen* e% %imi#ar a #a primera debi#idad ,ue mencionamo%3 #a cua# &ue #a incapacidad de di%criminar entre data buena + ma#icio%a" 1i un crac6er %poo& %u direccin de origen con una direccin de origen ,ue %i e% permitida por una de #a% reg#a% dentro de# &i#tro3 entonce% e# &ire!a## pa%ar/ o enrutar/ e# pa,uete" I #/e))(* +e E#!"+, Mu0!()"/" La in%peccin de e%tado mu#ticapa permite %obreponer debi#idade% inherente% en e# &i#trado de pa,uete%" Lo% &i#tradore% de pa,uete% ,ue imp#ementan e%te tipo de in%peccin pueden e.aminar e# contenido de #o% pa,uete% +a ,ue e# &ire!a## pueden mantener una ba%e de dato% de #a% cone.ione% anteriore%" Con e# an/#i%i% + #a comparacin de #a% cone.ione%3 e# &ire!a## puede entender #a natura#e0a de mucha% de #a% cone.ione%" La in%peccin de e%tado mu#ticapa #e permite detectar + derrotar e# e%caneado de ping + puerto%3 + a+uda a determinar %i un pa,uete ha %ido %poo&ed" Otro bene&icio de e%te tipo de in%peccin e% ,ue permite e# &i#trado de pa,uete a in%peccionar a todo% #a% capa% de# mode#o O1I3 no %#o en #a capa de 8ed" 4# u%o de in%peccin de e%tado mu#ticapa e% ho+ d'a mu+ genera#i0ado en #o% &ire!a##% de &i#trado de pa,uete%" E5er)()(, P$@: C, '(gur"r 0"# Reg0"# +e0 2(reM"00 +e 2(0!r"+, +e P".ue!e# http //!!!"codigo#ibre"org ;$A
Antonio Perpian
No %e pro-een %o#ucione% a e%te e7ercicio" $" iptab#e% puede %er u%ado para b#o,uear e# acce%o a %er-icio% a ni-e# de# pa,uete" Primero u%e un na-egador para con&irmar ,ue puede acce%ar %er-icio% <eb3 -i%itando cua#,uier p/gina !eb" 1i no tiene acce%o a Internet + e%tamo% e7ecutando un Apache3 podemo% e%cribir #a% direccione% a%' para ,ue apunten a nue%tro %er-idor #oca# Z 0- % 1@PI7I7I1 ;" U%e iptab#e% para denegar toda% #a% cone.ione% a# puerto BG en %u %i%tema" Z (/!"40e# $A ( /u! $/ !)/ $+ 1@PI7I7I1 O7 $5 DENY ?" 4%criba #a direccin de nue-o + debe ,uedar%e denegado + no poder acce%ar#a" Z 0- % 1@PI7I7I1 @" Denegar toda% #a% cone.ione% no tiene mucho %entido3 en e%te e7emp#o denegaremo% %o#o #a% direccione% de #o% cra6er%"org" Primero deber/ e#iminar #a 2#tima reg#a ,ue e%cribimo%" Z (/!"40e# $D ( /u! $/ !)/ $+ 1@PI7I7I1 O7 $5 DENY Z (/!"40e# $A ( /u! $/ !)/ $# )r")Der#I,rg $+ 1@PI7I7I1 O7 $5 DENY J" No %#o podemo% b#o,uear tr/&ico entrante3 pero adem/% podemo% b#o,uear e# %a#iente" Para probar cargue una p/gina en %u na-egador a%' Z 0- % g,,g0eI),& H" Ahora negamo% %u %a#ida a%' Z (/!"40e# $A ,u!/u! $/ !)/ $# $+ MMMIg,,g0eI),& O7 $5 DENY A" Ahora trate de na-egar + #e %er/ denegado Z 0- % g,,g0eI),& B" 4# tr/&ico !eb no e% e# 2nico ,ue puede %er &i#trado" )odo% #o% &i#tro% #i%tado% en /etc/%er-ice% pueden %er &i#trado%" Otro e7emp#o ,ue podemo% pre%entar +a ,ue e% mu+ com2n %u u%o e% b#o,uear #o% men%a7e% ICKP3 como e% PING" Para e# e7emp#o primero mande uno% cuanto% a %u inter&ace #o3 a%' Z /( g 1@PI7I7I1 PING $;A"G"G"$ ($;A"G"G"$* JH data b+te% O" Ahora u%e iptab#e% para denegar #a% peticione% de ping a# $;A"G"G"$ Z (/!"40e# $A ( /u! $/ ()&/ $+ 1@PI7I7I1 $$)&/$!-/e /( g $5 DENY $G" Ahora intente de nue-o de hacer ping a# $;A"G"G"$ Z /( g 1@PI7I7I1 $$" Ahora #impiemo% toda% #a% reg#a% ,ue e%tab#ecimo% para ,ue no e%torben con e# &uncionamiento norma# de# e,uipo de pr/ctica W iptab#e% >L W Li%tar #a% reg#a% -igente% W iptab#e% >F input W 4#iminar #a% de entrada W iptab#e% >F &or!ard W 4#iminar #a% de reen-io W iptab#e% >F output W 4#iminar #a% de %a#ida W iptab#e% >L W Li%tar #a% reg#a% -igente% E5er)()(, P$E: E0 U#, +e (/!"40e# 4n e%te e7ercicio u%aremo% iptab#e% para &i#trar #o% pa,uete% entrante%" Nece%itamo% un e,uipo directamente conectado a# Internet3 +a ,ue un &ire!a## o pro.+ puede ,ue inter&iera con #o% re%u#tado%" La% %o#ucione% a e%te e7ercicio %e encuentran en e# Ap5ndice A" (ONO CAK:IADO NO 9Ad 1OLUCION41* $" 8e-i%e ,ue tiene un 6erne# ,ue %oporta iptab#e% ;" 4%tab#e0ca ,ue #a po#'tica por de&ecto e% D4Nd ?" Deniegue todo e# tr/&ico de !!!"codigo#ibre"org @" Pruebe e# acce%o a !!!"codigo#ibre"org uti#i0ando ping + 9))P J" 4#imine e# &i#trado co#ocado a !!!"codigo#ibre"org http //!!!"codigo#ibre"org ;$B
Antonio Perpian H" Deniegue %#o e# tr/&ico 9))P entrante de !!!"codigo#ibre"org A" Pruebe e# acce%o a !!!"codigo#ibre"org uti#i0ando ping + 9))P B" Li%te toda% #a% reg#a% O" 4#imine toda% #a% reg#a% de INPU) $G" A%egurece ,ue IP &or!arding e%t/ habi#itado $$" 9abi#ite IP &or!arding %in ning2n &i#trado de pa,uete
L"# (/!"40e# 4# e%t/ndar de %i%tema de &ire!a## de GNU/Linu. ante% de# 6erne# ;"@ &ue ipchain%3 ante% de ipchain% e# 6erne# ten'a un %i%tema un poco di&erente de nombre ip&!adm"3 con #a ##egada de# 6erne# ;"@ + permanece con e# ;"H nacieron #a% IP)A:L41" A partir de# 6erne# ;"@ %e e%ta dando %oporte a otro mdu#o para &i#trado de pa,uete% mucho m/% potente ,ue IPC9AIN13 ##amado IP)A:L41" Para acceder a cierto% %itio% &tp tendremo% prob#ema% u%ando IPC9AIN1 con e# 6erne# ;"@" A pe%ar de ,ue IPC9AIN1 %iga &uncionando3 +a no tendremo% #o% antiguo% mdu#o% para %o#-entar #o% prob#ema% de acce%o a %er-icio% e%pecia#e% + e% nece%ario ,ue todo% #o% %i%tema% #egado% ,ue encontremo% en #a empre%a% a2n u%ando IPC9AIN1 #o% pa%emo% a IP)A:L41" IP 2,rM"r+( g 4n #a ma+or'a de #o% ca%o%3 u%ted uti#i0ar/ un %i%tema GNU/Linu. como &ire!a## a %u red comp#eta" 4n e%te ca%o3 tendr/ ,ue habi#itar enrutamiento en %u %i%tema" Para e# enrutado %imp#e3 u%ted puede habi#itar IP For!arding" Para #ograr e%to3 %imp#emente debe e%cribir un L$M ipg&or>!ard3 e%to %e e7ecuta a%' Z e)G, S1T Y //r,)/#-#/ e!/(/AK/(/R',rM"r+ 4%ta %entencia #e dice a# 6erne# ,ue e# debe enrutar #o% pa,uete% de una de %u% inter&ace% a #a otra %i e# pa,uete tiene como rumbo #a red" Para enrutamiento m/% comp#e7o deber/ in%ta#ar %oporte comp#eto de enrutamiento en e# 6erne#3 inc#u+endo #o% daemon% ,ue %oportan e%to% protoco#o% de enrutamiento" C,&, U#"r (/!"40e# Una de #a% di&erencia% ob-ia% entre ipchain% e iptab#e% e% ,ue #o% nombre% de #a% cadena% han %ido cambiado% de min2%cu#a% a ma+2%cu#a%" La ma+or'a de #o% cambio% ,ue notar/ como u%uario% e% en #a manera ,ue #a% opcione% %on u%ada%" Por e7emp#o3 #a opcin >i (inter&a0* ahora %#o ap#ica a #a% cadena% de INPU) + FO8<A8D3 mientra% ,ue #a >o debe %er %#o u%ada en #a% de OU)PU) + FO8<A8D" 4%to tiene e# e&ecto de ,ue rea#mente e# %igni&icado de inter&a0 ha cambiado a inter&a0 entrante +/o %a#iente" Adem/% e# puerto para e# protoco#o UDP o )CP debe %er e%crito u%ando #a% opcione% #arga >>%port o >>%ource>port inmediatamente de%pu5% de #a opcin de# &i#tro de# protoco#o (>p tcp o >p udp*" 4.i%ten 9O<>)O% + manua#e% en toda #a red dedicado% a e%te tema" Di&erencia% re%pecto a IPC9AIN1" La %inta.i%3 ob-iamente3 aun,ue no mucho" D4Nd no e.i%te3 ahora %er'a D8OP" KA1D + 84DI84C) no e.i%ten como de%tino% de pa,uete%" 84N4C) e.tendido% con m/% opcione% LOG con m/% opcione%3 mu+ 2ti# para monitorear + depurar """ + m/% ,ue %e pueden -er en e# ho!to% + en otra% p/gina%" E0e&e !,# BC#(),# >Ordene% b/%ica% iptab#e% >F e&ecti-amente3 &#u%h3 pu#ga toda% #a% reg#a% http //!!!"codigo#ibre"org ;$O
Antonio Perpian
iptab#e% >L Li%tado de toda% #a% reg#a% ,ue %e e%t/n ap#icando iptab#e% >A Append3 aadir una reg#a iptab#e% >D De#ete3 e#iminar una reg#a%3 etc"""
$E5e&/0, +e Reg0": W8eg#a ,ue acepta cone.ione% a# puerto BG (/!"40e# $A INPUT $( e!G7 $# 7I7I7I7/7 $/ TCP $$+/,r! MMM $5 ACCEPT ANATOMkA DE LA REGLA: (/!"40e#: 4# comando iptab#e% (no ha+ ,ue o#-idar ,ue #a% reg#a% %on un %he## %cript* $A: Append3 opcin para aadir #a reg#a INPUT: 4%tado de# pa,uete (a# entrar e% input*" $( e!G7: Inter&a0 de red ethG $# 7I7I7I7/7: Direccin de acce%o (cua#,uiera en e%te ca%o* $/ TCP: )ipo de puerto $$+/,r!: Puerto de de%tino $5 ACCEPT: De%tino de# pa,uete (%e acepta3 podr'a %er D8OP3 LOG3 84N4C)3""* $Gu3" rC/(+" +e '0"g#: $# : +(re))(* +e ,r(ge $+ : +(re))(* +e#!( , $/ : !(/, +e /r,!,),0,>TCPFUDPFICMP? $$#/,r! : $$+/,r!: $( ] $( $( !er'"#e : $, ] $$,u!$( !er'"#e: $N,!"#: $( $, 47 >% $O;"$HB"$"G/;@ 47 >d B@"JH"A?"? 47 >p )CP Puerto de origen Puerto de de%tino Inter&a0 por e# ,ue %e entra (ethG3eth$3 pppG3"""* Inter&a0 por e# ,ue %e %a#e (ethG3eth$3 pppG3"""*
U%ado con reg#a% INPU) + FO8<A8D U%ado con reg#a% FO8<A8D + OU)PU)
A partir de e%ta% norma% b/%ica%3 conociendo #a anatom'a b/%ica de una reg#a3 + -iendo e7emp#o% +a tenemo% %u&iciente materia# para empe0ar a hacerno% con e# dominio de IP)A:L41" D(#eH"r u " I&/0e&e !")(* +e u 2(reM"00 A# preparar + con&igurar un di%po%iti-o como &ire!a## debe tener mucho cuidado" 4# t5rmino ba%tin ,ue uti#i0amo% anteriormente + de&inimo% como un di%po%iti-o conectado directamente a un red pub#ica3 a,u' tambi5n #o uti#i0amo% para re&erirno% a nue%tro di%po%iti-o &ire!a##" Un ba%tin puede re&erir%e a uno de #o% tre% tipo% de &ire!a##% ,ue de&inimo% anteriormente Fi#trado de Pa,uete3 gate!a+ de ni-e# de circuito + gate!a+ de ni-e# de ap#icacin" Un ho%t ba%tin e% por de&inicin un di%po%iti-o ,ue acce%ib#e por e# p2b#ico" A# momento de ,ue un u%ua> rio de Internet intenta acce%ar %u red3 #a primera m/,uina ,ue encontrar/ e% %u ba%tin ho%t" Como e%t/ m/,uina 5%ta directamente conectada a# Internet toda #a in&ormacin ,ue e%ta contiene e%t/ e.pue%ta a# Internet" 4# ho%t ba%tin e% %imi#ar a# guardia en #a entrada de una &orta#e0a mi#itar" 4# guardia debe re-i%ar #o% credencia#e% de todo e# ,ue entra3 para determinar a ,ue /rea% e# -i%itante tiene derecho a acce%ar" 4%to% guardiane% a menudo http //!!!"codigo#ibre"org ;;G
Antonio Perpian
e%t/n armado% para pre-enir #a entrada por &uer0a" 1imi#armente e# ho%t ba%tin debe e%tar preparado para hacer cump#ir #a% reg#a% de acce%o o po#'tica% de %eguridad" Debe e%tar preparado para contrarre%tar cua#,uier tipo de ata,ue3 tanto de# e.terior como de# interior de #a red" La% arma% ,ue po%ee un ba%tin %on #o% %i%tema de #og% + %u% %i%tema% de a#arma% para pre-enir #o% ata,ue%" Pr( )(/(,# +e D(#eH, A# con&igurar un di%po%iti-o de &ire!a##%3 u%ted debe %iempre obedecer do% concepto% principa#e%" 4# primero e%3 mantener %u di%eo #o m/% %imp#e po%ib#e + %egundo e% tener un p#an de contingencia en ca%o de ,ue #ogren penetrar %u &ire!a##" M" !e er e0 D(#eH, S(&/0e A menudo #a &orma por #a cua# un crac6er #ogra entrar a una red e% e.p#otando componente% no nece%ario% + poco u%ado% in%ta#ado% en un ho%t" Debe con%truir %u ho%t ba%tin con e# menor n2mero de componente% po%ib#e3 ambo% tipo% hard!are + %o&t!are" 4# ho%t ba%tin debe %er creado %#o para pro-eer %er-icio% de &ire!a##" No debe in%ta#ar %o&t!are de %er-icio% en e#3 como por e7emp#o3 %er-idore% <eb3 ho%t ba%tin" Debe %er e#iminado cua#,uier ap#icacin en e# ho%t ba%tin ,ue no %ea ab%o#utamente nece%aria" P0" +e C, !( ge )(" 1i e# di%eo de %u &ire!a## e% correcto3 e# 2nico acce%o p2b#ico a %u red e% a tra-5% de %u &ire!a##" A# di%ear &ire!a##%3 e# admini%trador de %eguridad debe tener un p#an en ca%o de ,ue %u &ire!a## &a##e (cra%h* o %e -ea comprometida (entrada &or0ada*" 1i u%ted tiene un %o#o &ire!a## %eparando %u red de Internet3 + un crac6er #ogra penetrar3 entonce% e# tendr/ tota# acce%o a %u red" Para contrarre%tar e%to podemo% di%ear -ario% ni-e#e% de &ire!a##" No debe depender de un %#o &ire!a## para proteger toda %u red" 4# di%eo de &ire!a## #o cubriremo% m/% ade#ante" 1u% po#'tica% de %eguridad deben e%tab#ecer ,ue hacer en ca%o de &raca%o" Pa%o% e%pec'&ico% ,ue debe% tomar %on Crear una copia e.acta de# %o&t!are" Con&igurar un %i%tema id5ntico + %a#-aguardar#o" A%egurar%e ,ue todo e# %o&t!are nece%ario para in%ta#ar e# &ire!a## e%te di%ponib#e" 4%to inc#u+e di%co% de re%cate" T(/,# +e H,#!# B"#!(* A# crear %u ho%t ba%tin3 recuerde #a &uncin de e%te en %u e%trategia de &ire!a##" Determinar cua# e% e# ro# de# ba%tin #e a%i%tir/ en decidir ,ue nece%ita + como con&igurar e# di%po%iti-o" Lo% tipo% m/% comune% de ho%t% ba%tin %on di%cutido% m/% ade#ante" Lo% tipo% ,ue a,u' e.ponemo% no %on #o% 2nico% di%ponib#e%3 pero #a ma+or'a %i caen en una de e%ta% tre% categor'a%" S( g0e$H,&e+ H,#!# B"#!(* 4%te tipo de ho%t e% un di%po%iti-o de &ire!a## con %#o una inter&a0 de red" Lo% ho%t% de# tipo %ing#e>homed ba%tin %on por #o genera# uti#i0ado% como gate!a+% &ire!a##% a ni-e# de ap#icacin" 4# enrutador e.terno e%t/ con&igurado para en-iar toda #a data entrante a# ho%t ba%tin + todo% #o% c#iente% interno% e%t/n con&igurado% para en-iar toda %u data %a#iente a# ho%t ba%tin" 4# ho%t ba%tin entonce% probar/ #a data contra #a% po#'tica% de de %eguridad + actuar/ de acuerdo con e%ta%" La de%-enta7a principa# de e%te tipo de &ire!a## e% ,ue e# enrutador puede %er con&igurado a pa%ar #a in&ormacin directamente a #a red interna3 comp#etamente %obre pa%ando e# ho%t ba%tin" Lo% u%uario% pueden con&igurar %u% m/,uina% a %obrepa%ar e# ho%t ba%tin + en-iar %u in&ormacin directamente a# enrutador"
;;$
Antonio Perpian
Du"0$H,&e+ H,#!# B"#!(* 4# %egundo mode#o de corta&uego% e%ta &ormado por %imp#e% m/,uina% (PC%* con GNU/Linu.3 e,uipada% con do% o m/% tar7eta% de red + denominada% an&itrione% de do% ba%e% o mu#ti>ba%e3 + en #a% ,ue una de #a% tar7eta% %e %ue#e conectar a #a red interna a proteger + #a otra a #a red e.terna a #a organi0acin" 4n e%ta con&iguracin e# cho6e + e# ba%tin coinciden en e# mi%mo e,uipo" La PC e7ecutando GNU/Linu. debe tener con&igurado a# meno% un %er-idor pro.+ para cada uno de #o% %er-icio% ,ue de%eemo% pa%ar a tra-5% de# corta&uego%3 + tambi5n e% nece%ario ,ue e# IP For!arding e%t5 de%habi#itado en e# e,uipo3 aun,ue una m/,uina con do% tar7eta% puede actuar como un router3 para ai%#ar e# tr/&ico entre #a red interna + #a e.terna e% nece%ario ,ue e# cho6e no enrute pa,uete% entre e##a%" A%'3 #o% %i%tema% e.terno% -er/n a# ho%t a tra-5% de una de #a% tar7eta% + #o% interno% a tra-5% de #a otra3 pero entre #a% do% parte% no puede e.i%tir ning2n tipo de tr/&ico ,ue no pa%e por e# corta&uego%I todo e# intercambio de dato% entre #a% rede% %e ha de rea#i0ar a tra-5% de %er-idore% pro.+ %ituado% en e# ho%t ba%tin o bien permitiendo a #o% u%uario% conectar directamente a# mi%mo" La %egunda de e%ta% apro.imacione% e% %in duda poco recomendab#e3 +a ,ue un u%uario ,ue con%iga aumentar %u ni-e# de pri-i#egio% en e# %i%tema puede romper toda #a proteccin de# corta&uego%3 por e7emp#o reacti-ando e# IP For!arding*I adema% > e%to +a no re#ati-o a #a %eguridad %ino a #a &unciona#idad de# %i%tema > %ue#e %er incmodo para #o% u%uario% tener ,ue acceder a una m/,uina ,ue haga de puente entre e##o% e Internet" De e%ta &orma3 #a ubicacin de pro.+% e% #o ma% recomendab#e3 pero puede %er prob#em/tico e# con&igurar cierto tipo de %er-icio% o protoco#o% ,ue no %e di%earon teniendo en cuenta #a e.i%tencia de un pro.+ entre #o% do% e.tremo% de una cone.in" H,#!# B"#!(* +e u U (), Pr,/*#(!, Puede %er tanto un %ing#e o mu#ti>homed" Ku+ a menudo en e# ambiente de traba7o debemo% in%ta#ar ap#icacione% ,ue no %e han podido probar por agu7ero% de %eguridad" debemo% crear un ho%t ba%tin para e%ta% nece%idade%" No comprometa %u &ire!a## de produccin in%ta#/ndo#e ap#icacione% ,ue no han %ido probada%" U%ando un ho%t ba%tin para un 2nico prop%ito o tarea #e permite e%tab#ecer reg#a% + mecani%mo% m/% e%tricto%" Por e7emp#o imag'nen%e ,ue en #a compa'a %e -a a o&recer un nue-o %er-icio de tienda -irtua#3 #a po#'tica de #a compa'a e% &i#trar todo e# tr/&ico entrante + %a#iente ,ue -a a %er en-iado a tra-5% de# Pro.+" U%ted debe crear un pro.+ nue-o ,ue -a ha %er dedicado a e%ta tienda -irtua#" 4n e%te nue-o pro.+ u%ted debe imp#ementar autenticacin de u%uario a%' como e# acce%o re%tringido por IP" Con e# u%o de e%te %er-idor pro.+ u%ted no pone en pe#igro #a %ituacin actua# de %eguridad + puede imp#ementar ma+ore% ni-e#e% de %eguridad" H,#!# B"#!(* I !er , 4%to% tambi5n pueden %er tanto un %ing#e o mu#ti>homed3 pero re%iden dentro de #a red interna de #a compa'a" Norma#mente %on u%ado como gate!a+ ,ue reciben todo e# tr/&ico entrante de%de #o% ho%t ba%tin e.terno%" 4##o% pro-een un ni-e# adiciona# de %eguridad en ca%o de ,ue e# &ire!a## e.terno %ea comprometido" )odo #o% di%po%iti-o de red e.terno% %on con&igurado para comunicar%e %o#amente con e# ba%tin ho%t interno + no deben %er a&ectado por e# ho%t ba%tin e.terno comprometido" Te&" +e H"r+M"re 4# error m/% com2n de un admini%trador e% comprar #a me7or + ma% co%to%a m/,uina de# mercado para %u &ire!a##" La idea e% ,ue #a m/,uina m/% r/pida podr/ proce%ar e# tr/&ico entrante + %a#iente m/% r/pido + a%' me7orar #a e&iciencia de #a red" 4%ta pre%uncin e%ta tota#mente e,ui-ocada" La% &uncione% pro-e'da por e# ho%t ba%tin no %on comp#e7a% + no re,uieren de una m/,uina podero%a" U%ar una PC meno% podero%a e% %u&iciente en #a ma+or'a de #a% imp#ementacione% de &ire!a## + adema% no% puede ahorrar dinero" Un ho%t ba%tin puede http //!!!"codigo#ibre"org ;;;
Antonio Perpian
%er in%ta#ado en una con&iguracin de hard!are %imp#e" Lo m/% importante a tomar encuentra a# e#egir e# di%po%iti-o e% e# %i%tema operati-o ,ue e# ho%t ba%tin e7ecutar/" A# e#egir e# hard!are e#i7a #o% componente% ,ue han %ido probado no #o% u#timo de# mercando" Ku+ a menudo e%ta% tecno#ogia no han %ido probada3 no e.ponga %u compa'a a rie%go% innece%ario" 4# u%o de di%po%iti-o meno% potente o&rece -aria% -enta7a%" 1i %u &ire!a## e% comprometido + e# crac6er in%ta#a herramienta% o %er-icio% para penetrar aun m/% %u red3 una computadora meno% podero%a reducir/ e# tiempo de proce%o3 a%' permiti5ndo#e a u%ted m/% tiempo para identi&icar #a ruptura" 1imi#armente3 %i e# crac6er de%cubre ,ue %u &ire!a## ha %ido in%ta#ador en un %uper computadora #e %er/ m/% atracti-o ,ue un %imp#e computador" La deci%in de ,ue tan r/pido %ea e# proce%ador o cuanto 8AK in%ta#ar#e e% in&#uenciado por e# ro# a 7ugar por ho%t ba%tin por e7emp#o3 %i e%te ho%t ba%tin -a a e7ecutar un %er-icio gate!a+ de ap#icacin3 %e nece%itar/ un di%co duro de gran capacidad para ,ue #a caracter'%tica de cache de #a ap#icacin de# gate!a+" )odo ho%t ba%tin %e bene&icia de po%eer una gran capacidad de 8AK3 aun,ue un proce%ador r/pido no e% nece%ario para ana#i0ar e# tr/&ico entrante + %a#iente3 mantener e# in-entario de #a condicione% %imu#tanea %' puede con%umir mucha memoria" 1u ho%t ba%tin debe tener una e%trategia de bac6up3 e%te debe e%tar con&igurado con %u propia cinta como di%po%iti-o de bac6up" 1i %u compa'a tiene una e%trategia de bac6up -'a red u%ted no debe inc#uir e# ho%t ba%tin +a ,ue nece%itar'a #a% cuenta% de u%uario% + e%to comprometer'a o e# ho%t ba%tin o e# %er-idor de bac6up" 4&ectuar bac6up #oca# en e# ho%t ba%tin e#iminar/ e%te prob#ema" SerA()(,# - D"e&, # U%ted debe a%egurar cada ho%t ba%tin indi-idua#mente + a cada ni-e#" Por e7emp#o3 a%egure #a ap#icacin &ire!a##3 %i%tema operati-o + otro% %er-icio%3 como %on te#net3 http3 etc"" Cada uno de e%to% %i%tema% tiene unidade% e%peci&ica% ,ue deben %er dirigida por %eparado" Cuando u%ted in%ta#a un %i%tema operati-o %e in%ta#an mucho% %er-icio% por de&ecto" La ma+or'a de -er%ione% de GNU/Linu. in%ta#an te#net3 -nc3 + a#guna% ,ue otra% ap#icacione% con hi%toria#e% de -u#nerabi#idade% por de&ecto" )odo %er-icio no nece%itado debe %er remo-ido3 %imp#emente de%habi#itando e# %er-icio no #e a%egura ,ue de%pu5% no %er/ rehabi#itado" A# remo-er e%to% %er-icio% #e har/ m/% di&'ci# #a tarea a# crac6er de tener ,ue rein%ta#ar#o + rehabi#itar#o" U%ted debe tambi5n remo-er todo% #o% programa% de# %i%tema operati-o ,ue no %ean nece%ario3 por e7emp#o u%ted debe remo-er programa% de admini%tracin como %on rm3 chmod3 etc"" 4%to% programa% permiten a# crac6er cambiar con&iguracione% + cau%ar a2n ma+or dao" Otra con&iguracin importante de# di%po%iti-o de &ire!a## e% remo-er e# IP routing" 1i e# IP routing e%t/ habi#itado3 e# ho%t ba%tin puede autom/ticamente enrutar pa,uete% %in primero re-i%ar %i e##o% %e a7u%tan a #a% de&inicione% de %eguridad imp#ementada%" 1i u%ted e#imina e# IP routing3 e# ho%t ba%tin deber/ u%ar e# componente de# &ire!a## para enrutar o en-iar por e# pro.+ e# tr/&ico entrante + e# %a#iente" 4#iminar todo %er-icio no nece%ario3 daemon o ap#icacin e% e# pa%o m/% e%encia# a# crear un ho%t ba%tin %eguro" De%a&ortunadamente e%te pa%o no e% ##e-ado a cabo en #a ma+or'a de #o% ca%o%" 4#iminar ap#icacione% #e puede parecer e.ce%i-o pero recuerde ,ue e# ho%t ba%tin e% e# primer di%po%iti-o ,ue e# crac6er intentar/ penetrar para ad,uirir acce%o a %u red" 4#iminando todo e%to% componente% u%ted #e hace e# traba7o de# crac6er m/% di&'ci#"
;;?
Antonio Perpian
D(#eH,# C,&u e# +e 2(reM"00# Ahora ,ue +a %abemo% como crear un &ire!a## %eguro3 podemo% -er como imp#ementar una e%trategia de &ire!a##" 4# primer pa%o para e# di%eo de e%trategia de un &ire!a## %eguro e% &'%icamente a%egurar e# &ire!a## mi%mo" 4%te pa%o #e puede parecer ob-io pero %i u%ted no mantiene %u% &ire!a## en %itio %eguro %u% di%po%iti-o pueden %er comprometido%" 8ede% comp#eta% %e han ca'do debido a ,ue un agente de %eguridad nocturno tumbo e# %i%tema e#5ctrico" La ma+or'a de #o% di%po%iti-o% permiten e# acce%o a #o% ni-e#e% admini%trati-o% por m5todo% &'%ico%3 por e7emp#o3 iniciar un %er-idor de%de un #i-e>cd3 o conectar%e a un router -'a puerto %eria#" La ma+or'a de e%ta% amena0a% no pueden %er corregida3 a%' ,ue #a re%pue%ta e% a%egurar e# %itio" Lo% cuatro% di%eo% de &ire!a## m/% comune% pro-een cierto% ni-e#e% de %eguridad" Una reg#a %imp#e a %eguir a# di%ear e# &ire!a## e% ,ue mientra% m/% %en%iti-o e% e# dato3 m/% e.ten%a ,ue debe %er %u e%trategia de &ire!a##" Cada una de #a% cuatro imp#ementacione% de &ire!a## e%ta di%eada para crear un %in n2mero de &i#tro ,ue pueden proce%ar + a%egurar #a in&ormacin" La% cuatro% opcione% %on 8outer de Fi#trado 1ing#e>9omed 9o%t :a%tin Dua#>9omed 9o%t :a%tin 1ubred Fi#trada 4# router de &i#trado e% #a opcin m/% %imp#e + con%ecuentemente #a m/% com2n" La ma+or'a de #a organi0acione% u%an una %o#ucin de router de &i#trado principa#mente por,ue e##a% tienen todo e# hard!are nece%ario" La% do% opcione% para crear un &ire!a## de ho%t de &i#trado %on %ing#e o dua#>homed ho%t ba%tin" Amba% con&iguracione% re,uieren ,ue todo e# tr/&ico pa%e a tra-5% de# ho%t ba%tin3 e# cua# act2a como un gate!a+ de ni-e# de circuito + ap#icacin" 4# m5todo com2n &ina# e% un &ire!a## de %ubred &i#trada3 #a cua# u%a un enrutador de &i#trado de pa,uete adiciona# para #ograr otro ni-e# de %eguridad" E ru!"+,r +e 2(0!r"+, >S)ree ( g R,u!er#? Un &ire!a## %enci##o puede con%i%tir en un di%po%iti-o capa0 de &i#trar pa,uete%3 un cho6e %e trata de# mode#o de corta&uego% m/% antiguo3 ba%ado %imp#emente en apro-echar #a capacidad de a#guno% router% Ldenominado% %creening router%M para hacer un enrutado %e#ecti-o3 e% decir3 para b#o,uear o permitir e# tr/n%ito de pa,uete% mediante #i%ta% de contro# de acce%o en &uncin de cierta% caracter'%tica% de #a% trama%3 de &orma ,ue e# router act2e como pa%are#a de toda #a red" Genera#mente e%ta% caracter'%tica% para determinar e# &i#trado %on #a% direccione% origen + de%tino3 e# protoco#o3 #o% puerto% origen + de%tino (en e# ca%o de )CP + UDP*3 e# tipo de men%a7e (en e# ca%o de ICKP* + #o% inter&ace% de entrada + %a#ida de #a trama en e# router" 4n un corta&uego% de &i#trado de pa,uete% #o% acce%o% de%de #a red interna a# e.terior ,ue no e%t/n b#o,ueado% %on directo% (no ha+ nece%idad de uti#i0ar pro.+%3 como %ucede en #o% corta&uego% ba%ado% en una ma,uina con do% tar7eta% de red*3 por #o ,ue e%ta ar,uitectura e% #a ma% %imp#e de imp#ementar (en mucho% ca%o% %obre hard!are +a ubicado en #a red* + #a m/% uti#i0ada en organi0acione% ,ue no preci%an a#to ni-e#e% de %eguridad" No ob%tante3 e#egir un corta&uego% tan %enci##o puede no %er recomendab#e en cierta% %ituacione%3 o para organi0acione% ,ue re,uieren una ma+or %eguridad para %u %ubred3 +a ,ue #o% %imp#e% cho6e% pre%entan ma% de%-enta7a% ,ue bene&icio% para #a red protegida" 4# principa# prob#ema e% ,ue no di%ponen de un %i%tema de monitori0acin %o&i%ticado3 por #o ,ue mucha% -ece% e# admini%trador no puede determinar %i e# router e%ta %iendo atacado o %i %u %eguridad ha %ido comprometida" Adem/% #a% reg#a% de &i#trado pueden ##egar a %er comp#e7a% de e%tab#ecer3 + por tanto e% di&'ci# comprobar %u correccinI habitua#mente %#o %e comprueba a tra-5% de prueba% directa%3 con #o% prob#ema% de %eguridad ,ue e%to puede imp#icar" http //!!!"codigo#ibre"org ;;@
Antonio Perpian
1i a pe%ar de e%to decidimo% uti#i0ar un router como &i#tro de pa,uete%3 como en cua#,uier &ire!a## e% recomendab#e b#o,uear todo% #o% %er-icio% ,ue no %e uti#icen de%de e# e.terior (e%pecia#mente NI13 NF13 X<indo! + )F)P*3 a%' como e# acce%o de%de m/,uina% no con&iab#e% hacia nue%tra %ubredI adem/%3 e% tambi5n importante para nue%tra %eguridad b#o,uear #o% pa,uete% con encaminamiento en origen acti-ado" S)ree e+ H,#! 2(reM"00 >S( g0e$H,&e+ B"#!(* ? Un pa%o m/% en t5rmino% de %eguridad de #o% corta&uego% e% #a ar,uitectura %creened ho%t o cho6e>gate3 ,ue combina un router con un ho%t ba%tin3 + donde e# principa# ni-e# de %eguridad pro-iene de# &i#trado de pa,uete% (e% decir3 e# router e% #a primera + ma% importante #'nea de de&en%a*" La m/,uina ba%tin e% e# 2nico %i%tema acce%ib#e de%de e# e.terior3 en e%te %e e7ecutan #o% pro.ie% de #a% ap#icacione%3 mientra% ,ue e# cho6e %e encarga de &i#trar #o% pa,uete% ,ue %e puedan con%iderar pe#igro%o% para #a %eguridad de #a red interna3 permitiendo unicamente #a comunicacin con un reducido n2mero de %er-icio%" Pero3 dnde %ituar e# %i%tema ba%tin3 en #a red interna o en e# e.terior de# routerE 1e recomienda %ituar e# router entre #a red e.terior + e# ho%t ba%tin3 pero otro% de&ienden 7u%to #o contrario %ituar e# ba%tin en #a red e.terior no pro-oca aparentemente una degradacin de #a %eguridad3 + adem/% a+uda a# admini%trador a comprender #a nece%idad de un e#e-ado ni-e# de &iabi#idad en e%ta m/,uina3 +a ,ue e%t/ %u7eta a ata,ue% e.terno% + no tiene por ,u5 %er un ho%t &iab#eI de cua#,uier &orma3 #a no degradacin de #a %eguridad mediante e%ta apro.imacin e% m/% ,ue di%cutib#e3 +a ,ue habitua#mente e% m/% &/ci# de proteger un router ,ue una m/,uina con un %i%tema operati-o de prop%ito genera#3 como e% GNU/Linu.3 ,ue adem/% por de&inicin ha de o&recer cierto% %er-icio% no tenemo% m/% ,ue &i7arno% en e# n2mero de prob#ema% de %eguridad ,ue a&ectan a por e7emp#o a IO1 (e# %i%tema operati-o de #o% router%*3 mu+ reducido &rente a #o% ,ue a&ectan a di&erente% %abore% de GNU/Linu.3 ,ue a# e7ecutar tanta% ap#icacione% + %er-icio% mu+ a menudo %urgen prob#ema% ,ue #o -en comprometido" 4n todo ca%o3 aparte de por e%to% matice%3 a%umiremo% #a primera opcin por con%iderar#a ma+oritaria entre #o% e.perto% en %eguridad in&orm/ticaI a%'3 cuando una m/,uina de #a red interna de%ea comunicar%e con e# e.terior e.i%ten do% po%ibi#idade% $" 4# cho6e permite #a %a#ida de a#guno% %er-icio% a toda% o a parte de #a% m/,uina% interna% a tra-5% de un %imp#e &i#trado de pa,uete%" ;" 4# cho6e proh'be todo e# tr/&ico entre m/,uina% de #a red interna + e# e.terior3 permitiendo %#o #a %a#ida de cierto% %er-icio% ,ue pro-ienen de #a m/,uina ba%tin + ,ue han %ido autori0ado% por #a po#'tica de %eguridad de #a organi0acin" A%'3 e%tamo% ob#igando a #o% u%uario% a ,ue #a% cone.ione% con e# e.terior %e rea#icen a tra-5% de #o% %er-idore% pro.+ %ituado% en e# ba%tin" La primera apro.imacin e%conde un ma+or ni-e# de comp#e7idad a #a hora de con&igurar #a% #i%ta% de con> tro# de acce%o de# router3 mientra% ,ue %i e#egimo% #a %egunda #a di&icu#tad e%t/ en con&igurar #o% %er-idore% pro.+ (recordemo% ,ue no toda% #a% ap#icacione% %oportan bien e%to% mecani%mo%* en e# ho%t ba%tin" De%de e# punto de -i%ta de #a %eguridad e% m/% recomendab#e #a %egunda opcin3 +a ,ue #a probabi#idad de de7ar e%capar tr/&ico no de%eado e% menor" Por %upue%to3 en &uncin de #a po#'tica de %eguridad ,ue de&inamo% en nue%tro entorno3 %e pueden combinar amba% apro.imacione%3 por e7emp#o permitiendo e# tr/&ico entre #a% m/,uina% interna% + e# e.terior de cierto% protoco#o% di&'ci#e% de enrutar a tra-5% de un pro.+ o %enci##amente ,ue no entra nen mucho rie%go para nue%tra %eguridad (t'picamente3 ntp3 dn%" " " *3 + ob#igatorio% para e# re%to de %er-icio% a uti#i0ar e# ho%t ba%tin" La ar,uitectura %creened ho%t puede parecer a primera -i%ta m/% pe#igro%a ,ue #a ba%ada en una %imp#e m/,uina con -aria% inter&ace% de redI en primer #ugar3 tenemo% no uno %ino do% %i%tema% acce%ib#e% de%de e# e.terior3 por #o ,ue ambo% han de %er con&igurado% con #a% m/.ima% medida% de %eguridad" Adem/%3 #a ma+or comp#e7idad de di%eo hace m/% &/ci# #a pre%encia de errore% ,ue puedan de%embocar en una -io#acin de #a http //!!!"codigo#ibre"org ;;J
Antonio Perpian
po#'tica imp#antada3 mientra% ,ue con un ho%t con do% tar7eta% no% a%eguramo% de ,ue unicamente a,ue##o% %er-icio% con un pro.+ con&igurado podr/n generar tr/&ico entre #a red e.terna + #a interna (a no %er ,ue por error acti-emo% e# IP For!arding*" 1in embargo3 aun,ue e%to% prob#ema% %on rea#e%3 %e %o#-entan tomando #a% precaucione% nece%aria% a #a hora de di%ear e imp#antar e# corta&uego% + de&iniendo una po#'tica de %eguridad correcta" De cua#,uier &orma3 en #a pr/ctica e%ta ar,uitectura de corta&uego% e%t/ cada -e0 m/% en de%u%o debido a ,ue pre%enta do% punto% 2nico% de &a##o3 e# cho6e + e# ba%tin %i un atacante con%igue contro#ar cua#,uiera de e##o%3 tiene acce%o a toda #a red protegidaI por tanto3 e% m/% popu#ar3 + recomendab#e3 una ar,uitectura %creened %ubnet3 de #a ,ue -amo% a hab#ar a continuacin" S)ree e+ H,#! 2(reM"00 >Du"0$H,&e+ B"#!(* ? 4# %egundo mode#o de corta&uego% e%t/ &ormado por %imp#e% PC% e7ecutando GNU/Linu. e,uipada% con do% o m/% tar7eta% de red + denominada% an&itrione% de do% ba%e% (dua#>homed ho%t%* o mu#ti>ba%e (mu#ti>homed ho%t%*3 + en #a% ,ue una de #a% tar7eta% %e %ue#e conectar a #a red interna a proteger + #a otra a #a red e.terna a #a organi0acin" 4n e%ta con&iguracin e# cho6e + e# ba%tin coinciden en e# mi%mo e,uipoI #a m/,uina GNU/Linu." 4# %i%tema ha de e7ecutar a# meno% un %er-idor pro.+ para cada uno de #o% %er-icio% ,ue de%eemo% pa%ar a tra-5% de# corta&uego%3 + tambi5n e% nece%ario ,ue e# IP For!arding e%t5 de%habi#itado en e# e,uipo aun,ue una m/,uina con do% tar7eta% puede actuar como un router3 para ai%#ar e# tr/&ico entre #a red interna + #a e.terna e% nece%ario ,ue e# cho6e no enrute pa,uete% entre e##a%" A%'3 #o% %i%tema% e.terno% -er/n a# ho%t a tra-5% de una de #a% tar7eta% + #o% interno% a tra-5% de #a otra3 pero entre #a% do% parte% no puede e.i%tir ning2n tipo de tr/&ico ,ue no pa%e por e# corta&uego% todo e# intercambio de dato% entre #a% rede% %e ha de rea#i0ar bien a tra-5% de %er-idore% pro.+ %ituado% en e# ho%t ba%tin o bien permitiendo a #o% u%uario% conectar directamente a# mi%mo" La %egunda de e%ta% apro.imacione% e% %in duda poco recomendab#e3 +a ,ue un u%uario ,ue con%iga aumentar %u ni-e# de pri-i#egio% en e# %i%tema puede romper toda #a proteccin de# corta&uego%3 por e7emp#o reacti-ando e# IP For!arding*I adem/% > e%to +a no re#ati-o a #a %eguridad %ino a #a &unciona#idad de# %i%tema > %ue#e %er incmodo para #o% u%uario% tener ,ue acceder a una m/,uina ,ue haga de puente entre e##o% e Internet" De e%ta &orma3 #a ubicacin de pro.ie% e% #o m/% recomendab#e3 pero puede %er prob#em/tico e# con&igurar cierto tipo de %er-icio% o protoco#o% ,ue no %e di%earon teniendo en cuenta #a e.i%tencia de un pro.+ entre #o% do% e.tremo% de una cone.in" Su4re+ 2(0!r"+" >DMi? La ar,uitectura 1creened 1ubnet3 tambi5n conocida como 8ed Perim5trica o DeKi#itari0ed bone (DKb* e% con toda %eguridad #a m/% uti#i0ada e imp#antada a# d'a de ho+3 +a ,ue aade un ni-e# de %eguridad en #a% ar,uitectura% de corta&uego% %ituando una %ubred (DKb* entre #a% rede% e.terna e interna3 de &orma ,ue %e con%iguen reducir #o% e&ecto% de un ata,ue e.ito%o a# ho%t ba%tinI como hemo% -enido comentando3 en #o% mode#o% anteriore% toda #a %eguridad %e centraba en e# ba%tin $3 de &orma ,ue %i #a %eguridad de# mi%mo %e -e'a comprometida3 #a amena0a %e e.tend'a autom/ticamente a# re%to de #a red" Como #a m/,uina ba%tin e% un ob7eti-o intere%ante para mucho% crac6er%3 #a ar,uitectura DKb intenta ai%#ar#a en una red perim5trica de &orma ,ue un intru%o ,ue accede a e%ta m/,uina no con%iga un acce%o tota# a #a %ubred protegida" 1creened %ubnet e% #a ar,uitectura m/% %egura3 pero tambi5n #a m/% comp#e7aI %e uti#i0an do% router%3 denominado% e.terior e interior3 conectado% ambo% a #a red perim5trica como %e mue%tra en #a &igura(ONONONONONON FO)O ADUI*" 4n e%ta red perim5trica3 ,ue con%titu+e e# %i%tema corta&uego%3 %e inc#u+e e# ho%t ba%tin + tambi5n %e podr'an inc#uir %i%tema% ,ue re,uieran un acce%o contro#ado3 como bater'a% de mdem% o e# %er-idor de correo3 ,ue %er/n #o% 2nico% e#emento% -i%ib#e% de%de &uera de nue%tra red" 4# router http //!!!"codigo#ibre"org ;;H
Antonio Perpian
e.terior tiene como mi%in b#o,uear e# tr/&ico no de%eado en ambo% %entido% (hacia #a red perim5trica + hacia #a red e.terna*3 mientra% ,ue e# interior hace #o mi%mo pero con e# tr/&ico entre #a red interna + #a perim5trica a%'3 un atacante habr'a de romper #a %eguridad de ambo% router% para acceder a #a red protegidaI inc#u%o e% po%ib#e imp#ementar una 0ona de%mi#itari0ada con un 2nico router ,ue po%ea tre% o m/% inter&ace% de red3 pero en e%te ca%o %i %e compromete e%te 2nico e#emento %e rompe toda nue%tra %eguridad3 &rente a# ca%o genera# en ,ue ha+ ,ue comprometer ambo%3 tanto e# e.terno como e# interno" )ambi5n podemo%3 %i nece%itamo% ma+ore% ni-e#e% ni-e#e% de %eguridad3 de&inir -aria% rede% perim5trica% en %erie3 %ituando #o% %er-icio% ,ue re,uieran de menor &iabi#idad en #a% rede% m/% e.terna% a%'3 e# atacante habr/ de %a#tar por toda% + cada una de e##a% para acceder a nue%tro% e,uipo%I e-identemente3 %i en cada red perim5trica %e %iguen #a% mi%ma% reg#a% de &i#trado3 ni-e#e% adiciona#e% no proporcionan ma+or %eguridad" 4%ta ar,uitectura de corta&uego% e#imina #o% punto% 2nico% de &a##o pre%ente% en #a% anteriore%I ante% de ##egar a# ba%tin (por de&inicin3 e# %i%tema m/% -u#nerab#e* un atacante ha de %a#tar%e #a% medida% de %eguridad impue%ta% por e# enrutador e.terno" 1i #o con%igue3 como hemo% ai%#ado #a m/,uina ba%tin en una %ubred e%tamo% reduciendo e# impacto de un atacante ,ue #ogre contro#ar#o3 +a ,ue ante% de ##egar a #a red interna ha de comprometer tambi5n a# %egundo routerI en e%te ca%o e.tremo (%i un crac6er #ogra comprometer e# %egundo router*3 #a ar,uitectura DKb no e% me7or ,ue un %creened ho%t" Por %upue%to3 en cua#,uiera de #o% tre% ca%o% (compromi%o de# router e.terno3 de# ho%t ba%tin3 o de# router interno* #a% acti-idade% de un crac6er pueden -io#ar nue%tra %eguridad3 pero de &orma parcia#I por e7emp#o3 %imp#emente accediendo a# primer enrutador puede ai%#ar toda nue%tra organi0acin de# e.terior3 creando una negacin de %er-icio importante3 pero e%to %ue#e %er meno% gra-e ,ue %i #ograra acce%o a #a red protegida" Aun,ue3 como hemo% dicho ante%3 #a ar,uitectura DKb e% #a ,ue ma+ore% ni-e#e% de %eguridad puede proporcionar3 no %e trata de #a panacea de #o% corta&uego%" 4-identemente e.i%ten prob#ema% re#acionado% con e%te mode#oI por e7emp#o3 %e puede uti#i0ar e# &ire!a## para ,ue #o% %er-icio% &iab#e% pa%en directamente %in acceder a# ba%tin3 #o ,ue puede dar #ugar a un incump#imiento de #a po#'tica de #a organi0acin" Un %egundo prob#ema3 ,ui0/% m/% gra-e3 e% ,ue #a ma+or parte de #a %eguridad re%ide en #o% router% uti#i0ado%I como hemo% dicho ante% #a% reg#a% de &i#trado %obre e%to% e#emento% pueden %er comp#icada% de con&igurar + comprobar3 #o ,ue puede dar #ugar a errore% ,ue abran importante% brecha% de %eguridad en nue%tro %i%tema" VPN# >REDES VIRTUALES PRIVADA? Un =PN e% una t5cnica ,ue permite comunicacin %egura entre do% punto% in%eguro% o -'a una cone.in no con&iada (p2b#ica*" Una =PN puede e.tender #a LAN corporati-a a Internet + m/% a##/" 4n e%ta% imp#ementacione%3 Internet act2a como e# bac6bone de #a red corporati-a3 a%' e#iminando por comp#eto de adentro + a&uera de #a red + #a nece%idad de mantener mucha% rede%" La% =PN% %on apropiada% para toda organi0acin ,ue nece%ita de comunicacin %egura de recur%o% e.terno% + acce%o interno" Protoco#o% de# ni-e# de red + a#goritmo% e%tab#ecen un cana# %eguro en #a Capa de 8ed3 pro-e+endo pri-acidad3 integridad + autenti&icacin de ho%t" 4n 5%ta %eccin di%cutimo% #a ar,uitectura b/%ica de un =PN3 %u% re,uerimiento% + como con&igurar#a" Lo% %iguiente% tema% %er/n di%cutido% 8e,uerimiento% de un =PN IP Ka%,uerading (IP 4nma%carado* 4%tab#ecer un =PN =PN% u%ando un Fire!a## Peer>to>Peer 1tunne#
NO)A 4% po%ib#e e%tab#ecer cone.ione% mediante t2ne#e% %in encriptacin3 e% decir3 rea#i0ar %o#amente #a 4ncap%u#acin3 pero e%to no e%ta con%iderado ,ue %ea una =PN +a ,ue #o% dato% -ia7an de &orma in%egura a tra-5% de #a red"
;;A
Antonio Perpian
Re.uer(&(e !,# +e u VPN Un =PN re,uiere de tre% componente% autenti&icacin3 tunne#ing + encriptacin" 4# contenido comp#eto de una cone.in =PN no puede %er comp#etamente encriptado" Una porcin de e%te debe permanecer di%ponib#e3 %in encriptar3 para a%' permitir #a in&rae%tructura de red %in con&ian0a ,ue pueda mane7ar #o% pa,uete% + enrutar#o% a %u correcto de%tino &ina#" 4# cabe0a# )CP/IP puede %er e%crito por un ho%t =PN o di%po%iti-o3 independiente de# contenido de# pa,uete" Lo% protoco#o% mane7an #o% pa,uete% + #a carga e% encriptada" La encriptacin ocurren en e# punto de origen (%ource* + #a de%encriptacin en e# punto de de%tino" Lo% protoco#o% mane7an %u&iciente encriptacin para identi&icar e# receptor cuando -eri&icacin e% re,ueridaI de%encriptacin e% mane7ada por e# di%po%iti-o =PN3 a%egurando a%' con&idencia#idad e integridad de #a data tran%mitida a tra-5% de #a red %in con&ian0a o p2b#ica" Lo% =PN% adem/% de encriptar #o% dato%3 u%an tunne#ing3 toda #a data ,ue por e##a% -ia7an %on encap%u#ada% -'a pa,uete% por #a red" 4%to e% una -enta7a3 +a ,ue como #a data comp#eta e% encap%u#ada permite ,ue otro% protoco#o% de red3 ,ue no %on parte de# )CP/IP3 %ean encap%u#ado% dentro de un pa,uete )CP/IP + puedan -ia7ar por #a red p2b#ica" 4%ta e% una -enta7a ,ue &a-orece a rede% digamo% IPX/1PX3 ,ue por e%to puede %er pa%ado por un =PN" Como e# =PN encripta cada pa,uete IPX/1PX + #o encap%u#a o en-ue#-e en un pa,uete )CP/IP a# en-iar#o por e# t2ne#3 e%to permite ,ue rede% No-e##3 ,ue a2n %on u%ada% por mucha% compa'a% %ean e.tendida% a Internet" 4.i%ten -ario% protoco#o% de tunne#ing3 pero #o% m/% popu#are% %on PP)P (Point>to>Point )unne#ing Protoco#* + L;)P (La+er ; )unne#ing Protoco#*" PPTP >P,( !$!,$P,( ! Tu e0( g Pr,!,),0? 4%te e% uno de #o% protoco#o% m/% popu#are%3 origina#mente di%eado para permitir e# tran%porte (de modo encap%u#ado* de protoco#o% di&erente% a# )CP/IP a tra-5% de Internet3 e%tab#eciendo un cana# pri-ado entre %i%tema% comunic/ndo%e en rede% p2b#ica%" 4ncap%u#a #a data + #o% pa,uete% de in&ormacin/contro# uti#i0ando e# G84 =; (Internet Generic 8outing 4ncap%u#artion protoco# =er%in ;*" 4# proce%o de autenticacin de PP)P uti#i0a #o% mi%mo% m5todo% ,ue u%a PPP a# momento de e%tab#ecer una cone.in3 como por e7emp#o PAP (Pa%%!ord Authenticaction Protoco#* + C9AP (Cha##enge>9and%ha6e Authentication Protoco#*" L@TP >L"-er @ Tu e0( g Pr,!,),0? Otro mecani%mo para e%tab#ecer un t2ne# entre do% rede% e% e# L;)P3 e%te depende de identi&icacin a ni-e# de hard!are" L;)P no pro-ee encriptacin ni %er-icio% =PN pero puede %er u%ada en con7unto con IP1ec para pro-eer una cone.in de red>a>red con #o% %er-icio% de =PN (autenti&icacin3 con&idencia#idad e integridad de data* mane7ado por e# componente de IP1ec" IPSe)F INE - ISANMP 4# IP%ec e% una e.ten%in a# protoco#o IP ,ue #e proporciona %eguridad a IP + a #o% protoco#o% de capa% %uperiore%" Fue de%arro##ado para e# nue-o e%t/ndar IP-H + de%pu5% &ue portado a# IP-@" La ar,uitectura IP%ec %e de%cribe en e# 8FC;@G$" 4% e# e%t/ndar m/% popu#ar para #a encriptacin de =PN" 4% importante entender ,ue aun,ue toda% #a% =PN% emp#ean tunne#ing3 #a imp#ementacin de protoco#o% de t2ne# no pro-ee &uncione% criptogr/&ica% de un =PN" 1in todo% #a% parte% e#ementa#e% ,ue hemo% hab#ado ha%ta ahora de un =PN (autenti&icacin3 integridad + encriptacin* #o% crac6er% &/ci#mente pueden hacer%e pa%ar por cua#,uier u%uario + #ograr acce%ar nue%tra red" La integridad de #o% men%a7e% e% importante por,ue #o% pa,uete% pudie%en %er -io#ado% a# -ia7ar a tra-5% de #a red p2b#ica" 1in 5%ta encriptacin3 %u in&ormacin rea#mente corre e# pe#igro de %er p2b#ica" IP%ec emp#ea do% protoco#o% di&erente% > A9 + 41P > para a%egurar#a autenticacin3 integridad + con&idencia#idad de #a comunicacin" Puede proteger e# datagrama IP comp#eto o %#o #o% protoco#o% de capa% http //!!!"codigo#ibre"org ;;B
Antonio Perpian
%uperiore%" 4%to% modo% %e denominan3 re%pecti-amente3 modo t2ne# + modo tran%porte" 4n modo t2ne# e# datagrama IP %e encap%u#a comp#etamente dentro de un nue-o datagrama IP ,ue emp#ea e# protoco#o IP%ec" 4n modo tran%porte IP%ec %#o mane7a #a carga de# datagrama IP3 in%ert/ndo%e #a cabecera IP%ec entre #a cabecera IP + #a cabecera de# protoco#o de capa% %upriore%" Para proteger #a integridad de #o% datagrama% IP3 #o% protoco#o% IP%ec emp#ean cdigo% de autenticacin de men%a7e ba%ado% en re%2mene% (9KAC > 9a%h Ke%%age Authentication Code%*" Para e# c/#cu#o de e%to% 9KAC #o% protoco#o% 9KAC emp#ean a#goritmo% de re%umen como KDJ + 19A para ca#cu#ar un re%umen ba%ado en una c#a-e %ecreta + en #o% contenido% de# datagrama IP" 4# 9KAC %e inc#u+e en #a cabecera de# protoco#o IP%ec + e# receptor de# pa,uete puede comprobar e# 9KAC %i tiene acce%o a #a c#a-e %ecreta" Para proteger #a con&idencia#idad de #o datagrama% IP3 #o% protoco#o% IP%ec emp#ean a#goritmo% e%t/ndar de ci&rado %im5trico" 4# e%t/ndar IP%ec e.ige #a imp#ementacin de NULL + D41" 4n #a actua#idad %e %ue#en emp#ear a#goritmo% m/% &uerte% ?D413 A41 + :#o!&i%h" Para proteger%e contra ata,ue% por denegacin de %er-icio3 #o% protoco#o% IP%ec emp#ean -entana% de%#i0ante%" Cada pa,uete recibe un n2mero de %ecuencia + %o#o %e acepta %u recepcin %i e# n2mero de pa,uete %e encuentra dentro de #a -entana o e% po%terior" Lo% pa,uete% anteriore% %on de%cartado% inmediatamente" 4%ta e% una medida de proteccin e&ica0 contra ata,ue% por repeticin de men%a7e% en #o% ,ue e# atacante a#macena #o% pa,uete% origina#e% + #o% reproduce po%teriormente" Para ,ue #o% participante% de una comunicacin puedan encap%u#ar + de%encap%u#ar #o% pa,uete% IP%ec3 %e nece%itan mecani%mo% para a#macenar #a% c#a-e% %ecreta%3 a#goritmo% + direccione% IP in-o#ucrada% en #a comunicacin" )odo% e%to% par/metro% %e a#macenan en a%ociacione% de %eguridad (1A > 1ecurit+ A%%ociation%*" La% a%ociacione% de %eguridad3 a %u -e03 %e a#macenan en ba%e% de dato% de a%ociacione% de %eguridad (1AD > 1ecurit+ A%occiation Databa%e%*" Cada a%ociacin de %eguridad de&ine #o% %iguiente% par/metro% Direccin IP origen + de%tino de #a cabecera IP%ec re%u#tante" 4%ta% %on #a% direccione% IP de #o% participante% de #a comunicacin IP%ec ,ue protegen #o% pa,uete%" Protoco#o IP%ec (A9 o 41P*" A -ece%3 %e permite compre%in (IPCOKP*" 4# a#goritmo + c#a-e %ecreta emp#eado% por e# protoco#o IP%ec" Indice de par/metro de %eguridad (1PI > 1ecurit+ Parameter Inde.*" 4% un n2mero de ?; bit% ,ue identi&ica #a a%ociacin de %eguridad" A#guna% imp#ementacione% de #a ba%e de dato% de a%ociacione% de %eguridad permiten a#macenar m/% par/metro% Kodo IP%ec (t2ne# o tran%porte* )amao de #a -entana de%#i0ante para proteger%e de ata,ue% por repeticin" )iempo de -ida de una a%ociacin de %eguridad" 4n una a%ociacin de %eguridad %e de&inen #a% direccione% IP de origen + de%tino de #a comunicacin" Por e##o3 mediante una 2nica 1A %#o %e puede proteger un %entido de# tr/&ico en una comunicacin IP%ec &u## dup#e." Para proteger ambo% %entido% de #a comunicacin3 IP%ec nece%ita de do% a%ociacione% de %eguridad unidirecciona#e%" La% a%ociacione% de %eguridad %#o e%peci&ican cmo %e %upone ,ue IP%ec proteger/ e# tr/&ico" Para de&inir http //!!!"codigo#ibre"org ;;O
Antonio Perpian
,u5 tr/&ico proteger3 + cu/ndo hacer#o3 %e nece%ita in&ormacin adiciona#" 4%ta in&ormacin %e a#macena en #a po#'tica de %eguridad (1P > 1ecurit+ Po#ic+*3 ,ue a %u -e0 %e a#macena en #a ba%e de dato% de po#'tica% de %eguridad (1PD > 1ecurit+ Po#ic+ Databa%e*" Una po#'tica de %eguridad %ue#e e%peci&icar #o% %iguiente% par/metro% Direccione% de origen + de%tino de #o% pa,uete% por proteger" 4n modo tran%porte% e%ta% %er/n #a% mi%ma% direccione% ,ue en #a 1A" 4n modo t2ne# pueden %er di%tinta%" Protoco#o% + puerto% a proteger" A#guna% imp#ementacione% no permiten #a de&inicin de protoco#o% e%pec'&ico% a proteger" 4n e%te ca%o3 %e protege todo e# tr/&ico entre #a% direccione% IP indicada%" La a%ociacin de %eguridad a emp#ear para proteger #o% pa,uete%" La con&iguracin manua# de #a a%ociacin de %eguridad e% proc#i-e a errore%3 + no e% mu+ %egura" La% c#a-e% %ecreta% + a#goritmo% de ci&rado deben compartir%e entre todo% #o% participante% de #a =PN" Uno de #o% prob#ema% cr'tico% a #o% ,ue %e en&renta e# admini%trador de %i%tema% e% e# intercambio de c#a-e% Ccmo intercambiar c#a-e% %im5trica% cuando a2n no %e ha e%tab#ecido ning2n tipo de ci&radoE Para re%o#-er e%te prob#ema %e de%arro## e# protoco#o de intercambio de c#a-e% por Internet (I\4 > Internet \e+ 4.change Protoco#*" 4%te protoco#o autentica a #o% participante% en una primera &a%e" 4n una %egunda &a%e %e negocian #a% a%ociacione% de %eguridad + %e e%cogen #a% c#a-e% %ecreta% %im5trica% a tra-5% de un intercambio de c#a-e% Di&&ie 9e##mann" 4# protoco#o I\4 %e ocupa inc#u%o de reno-ar peridicamente #a% c#a-e% para a%egurar %u con&idencia#idad" SA >Se)ur(!- A##,)("!(, #? - INE >I !er e! Ne- E%)G" ge? Un 1A e% e# intercambio de data ,ue debe identi&icar a un ho%t en particu#ar" Por #o genera# 1A re,uiere de# u%o de criptogra&'a de ##a-e p2b#ica" 1i u%ted de%ea u%ar IP1ec para comunicar%e con %eguridad con otro ho%t3 primero u%ted debe crear un 1A" 4# protoco#o I\4 re%ue#-e e# prob#ema m/% importante de# e%tab#ecimiento de comunicacione% %egura% #a autenticacin de #o% participante% + e# intercambio de c#a-e% %im5trica%" )ra% e##o3 crea #a% a%ociacione% de %eguridad + re##ena #a 1A" 4# protoco#o I\4 %ue#e imp#ementar%e a tra-5% de %er-idore% de e%pacio de u%uario3 + no %ue#e imp#ementar%e en e# %i%tema operati-o" 4# protoco#o I\4 emp#ea e# puerto JGG UDP para %u comunicacin" La ma+or'a de %o&t!are% + di%po%iti-o% ,ue cump#en con e# IP1ec permiten monitorear 1A acti-a%" 4# protoco#o I\4 &unciona en do% &a%e%" La primera &a%e e%tab#ece un I1A\KP 1A (Internet 1ecurit+ A%%ociation \e+ Kanagement 1ecurit+ A%%ociation > A%ociacin de 1eguridad de# Protoco#o de Ge%tin de C#a-e% de A%ociacione% de 1eguridad en Internet*" 4n #a %egunda &a%e3 e# I1A\KP 1A %e emp#ea para negociar + e%tab#ecer #a% 1A de IP%ec" La autenticacin de #o% participante% en #a primera &a%e %ue#e ba%ar%e en c#a-e% compartida% con anterioridad (P1\ > Pre>%hared 6e+%*3 c#a-e% 81A + certi&icado% X"JGO (puede rea#i0ar e%ta autenticacin inc#u%o mediante \erbero%*" La primera &a%e %ue#e %oportar do% modo% di%tinto% modo principa# + modo agre%i-o" Ambo% modo% autentican a# participante en #a comunicacin + e%tab#ecen un I1A\KP 1A3 pero e# modo agre%i-o %#o u%a #a mitad de men%a7e% para a#can0ar %u ob7eti-o" 4%to3 %in embargo3 tiene %u% de%-enta7a%3 +a ,ue e# modo agre%i-o no %oporta #a proteccin de identidade% +3 por #o tanto3 e% %u%ceptib#e a un ata,ue man>inthe>midd#e (por e%cucha + repeticin de men%a7e% en un nodo intermedio* %i %e emp#ea 7unto a c#a-e% compartida% con anterioridad http //!!!"codigo#ibre"org ;?G
Antonio Perpian
(P1\*" Pero %in embargo e%te e% e# 2nico ob7eti-o de# modo agre%i-o3 +a ,ue #o% mecani%mo% interno% de# modo principa# no permiten e# u%o de di%tinta% c#a-e% compartida% con anterioridad con participante% de%conocido%" 4# modo agre%i-o no permite #a proteccin de identidade% + tran%mite #a identidad de# c#iente en te.to p#ano + c#aro" Por #o tanto3 #o% participante% de #a comunicacin %e conocen ante% de ,ue #a autenticacin %e ##e-e a cabo3 + %e pueden emp#ear di%tinta% c#a-e% pre>compartida% con di%tinto% comunicante%" K2#tip#e% t2ne#e% pueden %er mane7ado% a tra-5% de un 1A" 4n #a %egunda &a%e3 e# protoco#o I\4 intercambia propue%ta% de a%ociacione% de %eguridad + negocia a%ociacione% de %eguridad ba%/ndo%e en #a I1A\KP 1A" La I1A\KP 1A proporciona autenticacin para proteger%e de ata,ue% hombre>de>por>medio (man>inthe>midd#e*" 4%ta %egunda &a%e emp#ea e# modo r/pido" Norma#mente3 do% participante% de #a comunicacin %#o negocian una I1A\KP 1A3 ,ue %e emp#ea para negociar -aria% (a# meno% do%* IP%ec 1A% unidirecciona#e%" E5er)()(, P$K: C,&/(0"r u Ner e0 IPSe) 4# pa,uete Free1!an pro-ee e# m5todo de encriptacin de comunicacin entre %i%tema% GNU/Linu." 4%to %e #ogra modi&icando e# 6erne#3 %i %u 6erne# e% anterior a# ;"H" 4%te e7ercicio re,uiere ,ue #o% &uente% + #a% herramienta% de de%arro##o e%ten in%ta#ada en e# %i%tema" No %e pro-een %o#ucione% a e%te e7ercicio" P4NDI4N)4 1IN COKPILAcin IP E &"#)"r"+, 4# enma%carado de IP permite ,ue un grupo de m/,uina% ,ue no e%t/n conectada% a# Internet3 #a acce%en a tra-5% de un computador de GNU/Linu. ,ue %i e%t/ conectado directamente" 4%te grupo de computadora% por #o genera# con&orman una red interna de m/,uina% ,ue no po%een direccione% IP p2b#ica% + %on a%ignada% direccione% IP pri-ada%" La% direccione% pri-ada% pueden pertenecer a cua#,uiera de #a% %iguiente% categor'a de IP% $G"G"G"G/B C#a%e A $A;"$H"G"G/$H C#a%e : $O;"$HB"G"G/;@ C#a%e C 4# computador o grupo ,ue %ea a%ignado una de e%ta% direccione% IP puede tener acce%o a# Internet3 u%ando un computador con GNU/Linu. con una direccin p2b#ica o conectado directamente a un enrutador3 a tra-5% de# u%o de enma%carado de IP" E#!"40e)er u VPN Para e%tab#ecer un =PN entre do% rede% pri-ada% comunicada% a tra-5% de Internet3 primero ha+ ,ue con&igurar un t2ne# %eguro entre #o% do% punto%" La% rede% pri-ada% por #o genera# tienen direccione% IP de# rango ,ue mencionamo% anteriormente de $G"G"G"G/B3 $A;"$H"G"G/$; $O;"$HB"G"G/$H" Una red pri-ada remota con una de e%ta% direccione% IP intenta comunicar%e con otra red pri-ada3 #o ,ue in-o#ucra e# c#iente3 #o% enrutadore% %er-idor + Internet" Amba% rede% e%t/n protegida% por &ire!a##%3 ,ue e%t/n e%tab#ecida% en #o% enrutadore%" La idea detr/% de un =PN e% enrutar todo e# tr/&ico dirigido a una red pri-ada a tra-5% de un t2ne#" 4%to re,uiere #a con&iguracin de cierto mecani%mo en ambo% #ado3 tanto e# c#iente como e# %er-idor" A,u' #i%tamo% #o% pa%o% nece%ario% para con&igurar e# %er-idor + e# c#iente $"> 8e%tringir #o% u%uario% de# #ado de# %er-idor" 4%to %e #ogra editando e# archi-o /etc/pa%%!d3 e#iminando #a% contra%ea% + emp#eando e# mecani%mo de autenti&icacin a tra-5% de ##a-e% p2b#ica% de %%h" Un e7emp#o de una http //!!!"codigo#ibre"org ;?$
Antonio Perpian
entrada de pa%%!d debe #ucir a#go como e%te ,ue %igue &(gue0:b:J77:117:M(gue0 A !, (,:/G,&e/u#er#:/u#r/#4( ////+ Donde pppd e% e# daemon point>to>point protoco# ,ue pro-ee un m5todo para tran%mitir datagrama% %obre un en#ace %eria# de punto>a>punto" La entrada en e# archi-o pa%%!d pro-ee e# u%o de# pppd en -e0 de# %he## ,ue e% #o norma# + a%' #imita #a #ibertad de# u%uario" ;"> 4# 6erne# de# %er-idor debe e%tar con&igurado con %oporte para &ire!a## + enma%caramiento de IP" La% opcione% como %on CONFIGgIPgFI84<ALL o CONFIGgIPgKA1DU48AD4 deben %er %e#eccionada% mientra% %e compi#a e# 6erne#" Una -e0 con&igurado3 #a% reg#a% de &i#trado apropiada% deben %er e%tab#ecida% para permitir e# acce%o debido" 1i tenemo% un &ire!a## en e# %er-idor =PN3 deberemo% agregar a#guna% reg#a% de iptab#e% para permitir ,ue %e e%tab#e0ca e# t2ne#3 #o% puerto% ,ue no% intere%an %on e# $A;? + e# @A" 8eg#a% de entrada
W iptab#e% >A INPU) >p tcp >>dport $A;? >7 ACC4P) W iptab#e% >A INPU) >p @A >7 ACC4P) 8eg#a% de %a#ida W iptab#e% >A OU)PU) >p tcp >>%port $A;? >7 ACC4P) W iptab#e% >A OU)PU) >p @A >7 ACC4P) W ipchain% >F &or!ard W ipchain% >P &or!ard D4Nd W ipchain% >A &or!ard >7 ACC4P) >% $O;"$HB"G"G/$H >d $A;"$H"G"G/$;
La% reg#a% arriba mencionada% %imp#emente e%peci&ican e# origen + e# de%tino de #o% pa,uete% enrutado%" ?"> 4# c#iente debe u%ar %%h + debe redireccionar %u entrada + %a#ida a# pppd" E#!"40e)er u VPN U#" +, u 2(reM"00 Pu !,$"$Pu !, U%ted puede e%tab#ecer un =PN u%ando do% &ire!a##% de# mi%mo tipo o do% ,ue uti#icen e# mi%mo a#goritmo de encriptado" Lo% &ire!a## e%tab#ecen un =PN encriptando #a comunicacin entre e##o%3 #a cua# e% tran%parente a #o% %i%tema% ,ue e%t/n detr/% de# &ire!a##" 4# re%u#tado e% ,ue #o% ho%t% interno% a cada &ire!a## pueden intercomunicar%e %in #a nece%idad de agregar nada a #o% %i%tema% operati-o%" 4%te tipo de con&iguracin crea un =PN de red>a>red + no un =PN de ho%t>a>ho%t" 4%te u%o de &ire!a##% para comunicar%e entre %' crea un per'metro -irtua# de red3 debido a ,ue #a red de &ire!a##% pueden crear un per'metro ma+or para #a red de #a organi0acin" Una -enta7a de e%te tipo de red e% ,ue %oporta u%uario% remoto% con comp#eta %eguridad" 4# a#to ni-e# de %eguridad incrementa #a #ibertad de #o% u%uario% remoto% poder u%ar #a% ap#icacione% pri-ada% de #a organi0acin de cua#,uier punto en e# mundo" S!u e0 4# pa,uete 1tunne# contiene un programa ,ue te permite encriptar cone.ione% )CP arbitraria% dentro de 11L (1ecure 1oc6et% La+er* para ,ue pueda% comunicarte &/ci#mente con c#iente% %obre cana#e% %eguro%" 1tunne# puede u%ar%e para aadir &unciona#idad 11L a #o% demonio% com2nmente u%ado% ba7o Xinetd como #o% %er-idore% POP>;3 POP>?3 + IKAP3 a %er-idore% independiente% como NN)P3 1K)P + 9))P3 + para entubar PPP %obre conectore% de red %in hacer cambio% en e# cdigo &uente de# pa,uete de# %er-idor" La ma+or'a de #o% protoco#o% no inc#u+en un m5todo de encriptacin" Por e7emp#o3 cuando un programa de emai# de%carga correo de%de un %er-idor POP? o IKAP3 #o% men%a7e% %on en-iado% en te.to p#ano a# -ia7ar en pa,uete% por Internet" 4%to pone e# contenido de nue%tro% men%a7e% -u#nerab#e a cua#,uiera ,ue po%ea #o% recur%o% para interceptar nue%tro% pa,uete%" 4# 1tunne# pro-ee una manera para poder pre%er-ar #a pri-acidad de #o% correo% e#ectrnico% + cua#,uier otra tran%mi%in %obre Internet" Con e# u%o de 1tunne# e# admini%trador puede encriptar + a%egurar -irtua#mente cua#,uier cone.in ba%ada en )CP en c#iente/%er-idor (IKAP3 POP?3 F)P3 LDAP3 etc"* ,ue no -enga con #a &unciona#idad de 11L" Para http //!!!"codigo#ibre"org ;?;
Antonio Perpian
u%ar 1tunne# no ha+ ,ue cambiar nada en e# cdigo de# daemon ,ue ,ueremo% a%egurar + %#o cambio% m'nimo% deben %er e&ectuado% a #a con&iguracin de# protoco#o e.i%tente" 1u adaptabi#idad + -er%ati#idad #o han ##e-ado a %er conocido como e# t2ne# 11L uni-er%a#" C, '(gur"r - E5e)u!"r S!u e0 Aun,ue e# modo por de&ecto de 1tunne# e% Xinetd3 e# puede operar tanto en modo de Xinetd como demonio" 47ecutar#o en modo de daemon e% #ogrado con #a opcin >d a# dar#e inicio" 4n #a %iguiente tab#a #e pre%entamo% a#guna% de #a% opcione% -/#ida
O/)(* >c >D >>t >u >8 >d >& ># >L >% >g Argu&e !, ning2n ni-e# G>A ni-e# $>? timeout en %egundo% identgu%ername nombre>archi-o eho%t fpuerto ning2n programa programa nombregu%uario nombreggrupo De#)r(/)(* 47ecuta en modo de c#iente G (%in e%cribir a# #og* + A (in&ormacin de debugging* =eri&ica e# certi&icado de# peer )imeout de #a %e%in de# cacheI por de&ecto ?GG% Uti#i0a e# re-i%ado de identidad de# nombre de u%uario Archi-o a#imentar a# generador de n2mero% a#eatorio% 4%cuchar cone.ione% en ho%t + puerto e%peci&icado 47ecuta en e# primer p#ano + e%cribe #og% a# %tderr + no a %+%#og 47ecuta programa #oca# de# tipo inetd Abre pt+ #oca# + e7ecuta a programa 4%tab#ece %etuid en modo de daemon a nombregu%uario 4%tab#ece %etgid en modo de daemon a nombreggrupo
E5e)u!"r0, e M,+, +e X( e!+ 4# 1tunne# puede %er con&igurado para iniciar%e u%ando Xinetd" Conocido como e# 1uper 1er-idor de Internet3 Xinetd e%t/ di%eado para in-ocar %er-icio% de Internet cuando %e e&ect2a una cone.in a un puerto en e%pec'&ico3 a%' reduciendo #a carga en e# %i%tema" 4# &ormato de #o% archi-o de con&iguracin de Xinetd"d %e mue%tra m/% ade#ante
W de&au#t o&& W de%cription )he t&tp %er-er %er-e% &i#e% u%ing the tri-ia# &i#e tran%&er n W protoco#" )he t&tp protoco# i% o&ten u%ed to boot di%6#e%% n W !or6%tation%3 do!n#oad con&iguration &i#e% to net!or6>a!are printer%3 n W and to %tart the in%ta##ation proce%% &or %ome operating %+%tem%" %er-ice t&tp _ di%ab#e X no %oc6etgt+pe X dgram protoco# X udp !ait X +e% u%er X root %er-er X /u%r/%bin/in"t&tpd %er-ergarg% X >% /t&tpboot perg%ource X $$ cp% X $GG ; &#ag% X IP-@ `
4# admini%trador de %i%tema% deber/ editar e# archi-o de con&iguracin de Xinetd perteneciente a# %er-icio ,ue de%ea ,ue Xinetd arran,ue cuando e# puerto e% re,uerido" A%umamo% ,ue %tunne# debe %er con&igurado para e%cuchar e# puerto OOOG para %oportar un protoco#o de nombre prueba" 1i e# %tunne# e%ta in%ta#ado en %u directorio por de&ecto3 /u%r/#oca#/%bin/3 #a %iguiente #'nea %er'a agregada a# archi-o en Xinetd"d #erAer ]/u#r/0,)"0/#4( /#!u e0 #!u e0 ,/!(, # :a%ado en 5%ta #'nea3 #a %iguiente #'nea deber/ %er agregada a# archi-o /etc/%er-ice% http //!!!"codigo#ibre"org ;??
Antonio Perpian
#)re"& \\\7/!)/ Z/"r" e5e)u!"r #)re"& De%pu5% de haber e&ectuado e%to% cambio%3 a# proce%o de Xinetd %e #e debe en-iar #a %ea# 1IG9UP Z D(00 $HUP (+R+e0R/r,)e#,RX( e!+ 4# ID de# proce%o Xinetd puede %er encontrado con e# %iguiente comando Z /# $"u% g gre/ X( e!+ E5e)u!"r0, e M,+, D"e&, 4% recomendab#e e7ecutar e# %tunne# en modo daemon en comparacin de modo Xinetd por -aria% ra0one%" 4n modo daemon o %er-idor3 11L debe %er inicia#i0ado para cada cone.in + no e%t/ di%ponib#e e# cache de %e%in" 4%to a%i%te a %tunne# ha %er m/% %eguro" 4# modo de Xinetd re,uiere de #a &uncin L&or6M3 #a cua# re,uiere de recur%o% adiciona#e% de# %i%tema" 4# modo daemon no har/ &or6ing %i e# %tunne# &ue compi#ado con hi#o% (thread%*" C, '(gur"r S!u e0 /"r" .ue #e E5e)u!e e M,+, D"e&, Para con&igurar a# %tunne# ,ue %e e7ecute en modo daemon + ,ue e%cuche en e# puerto OOOG + ,ue %oporte un protoco#o %tream )CP3 %e #e agregar'a #a %iguiente #'nea a# archi-o /etc/%er-ice% #!re"& \\\7/!)/ Z E0 #erA()(, #!re"& 4# %tunne# e% iniciado de #a %iguiente manera Z /u#r/4( /#!u e0 $+ #!re"& ,/!(, # C, '(gur"r S!u e0 /"r" .ue #e E5e)u!e e M,+, D"e&, 1i e# admini%trado de%ea ,ue una cone.in POP? entre e# %er-idor de correo de #a organi0acin + un ordenado e.terno %ea %egura %obre #a red p2b#ica3 pero e# ordenado e.terno no po%ee un programa c#iente ,ue %oporte %%#" 4%te prob#ema puede re%o#-er%e e7ecutando un %tunne# en e# computador e.terno + comunicando e# emai# con e# %tunne# ,ue %e e7ecuta #oca#mente como %i e%te &ue%e e# %er-idor de correo" Lo% pa,uete% %on encriptado% por %tunne# + en-iado% a# %tunne# e7ecut/ndo%e en e# %er-idor de correo" da en e# %er-idor3 e# %tunne# de%encripta #o% pa,uete% + %e #o pa%a a# daemon de POP? #oca# en e# %er-idor" Aun,ue #a cone.in e% encriptada + %egura3 e# c#iente de correo de# computador e.terno + e# %er-idor de correo POP? &uncionan norma#mente" Para imp#ementar POP? %obre %tunne#3 e# admini%trador debe e%coger un n2mero de puerto arbitrario en e# %er-idor de correo para e%cuchar por #a cone.in %eguraI a#guno% protoco#o% tienen re%er-ado% n2mero% de puerto para #a% -ariante% de %%#" 4# puerto de%ignado de# POP? %eguro e% e# OOJ3 pero cua#,uier n2mero di%ponib#e puede %er uti#i0ado %i e# admini%trador e% con%i%tente" 4n e# %iguiente e7emp#o uti#i0aremo% e# n2mero de puerto de%ignado3 e# computador e.terno %er/ re&erido como c#iente + e# %er-idor de correo %er/ re&erido como codigo#ibre" 4n e# c#iente3 %tunne# e% in-ocado con #a% %iguiente% opcione% Z #!u e0 $) $+ /,/E $r ),+(g,0(4re:/,/E# 4%to indica ,ue %tunne# deber/ e7ecutar%e en modo c#iente -'a #a opcin >c3 e%cuchar en e# puerto de POP? -'a #a opcin >d + conectar%e a# #a m/,uina remota3 codigo#ibre3 en e# puerto pop? -'a #a opcin >r" 4n codigo#ibre3 e# %er-idor de correo3 e# %tunne# e% in-ocado a%' Z #!u e0 $+ /,/E# $r )0(e !e:/,/E 4%te comando indica ,ue %tunne# debe e%cuchar en e# puerto POP? -'a #a opcin >d + conectar%e a# computador remoto3 c#iente3 en e# puerto POP? -'a #a opcin >r" La con&iguracin de# c#iente de correo3 e# c#iente debe %er cambiado para u%ar #a m/,uina #oca# como %er-idor de correo entrante de POP?" Aun,ue por #o genera#3 e# protoco#o e%t/ndar POP? no %oporta encriptacin3 e# tr/&ico ahora %obre #a red p2b#ica %i #o e%ta"
;?@
Antonio Perpian
RESUMEN 4n e%te cap'tu#o &ue introducido a#guno% concepto% de &ire!a##% + =PN%3 inc#u+endo Un &ire!a## e% un componente critico de %u po#'tica de %eguridad3 principa#mente por,ue e% donde podemo% &or0ar #a autenti&icacin de todo% #o% u%uario% + monitorear todo tr/&ico entrante + %a#iente" Kucha% imp#ementacione% re,uerir/n m2#tip#e% &ire!a##% para poder mane7ar #o% di&erente% ni-e#e% de %eguridad de #a red" Lo% &ire!a##% pueden &uncionar de di&erente% manera%3 inc#u+endo &i#trado de pa,uete%3 gate!a+% de# ni-e# de circuito + de# ni-e# de ap#icacin" Para poder di%ear un &ire!a## %e re,uiere de conocimiento %#ido de )CP3 UDP + ICKP + #o% %er-icio% ,ue uti#i0an e%to% protoco#o% IP" Un =PN re,uiere de tre% componente%" Autenti&icacin )unne#ing 4ncriptacin 4# 1tunne# e% un uti#itario de t2ne# %eguro mu+ uti#i0ado en GNU/Linu." PREGUNTAS POST $ EXAMEN La% re%pue%ta% a e%ta% pregunta% e%t/n a# &ina# de e%te #ibro en e# Ap5ndice A $"> CCu/# e% e# a%pecto m/% importante de #a co#ocacin de# &ire!a##E ;"> CCmo &unciona e# &orta#ecimiento de# %i%tema operati-oE ?"> CDu5 e% un %creening routerE @" CCu/#e% %on #a% do% con&iguracione% ,ue puede tener un &ire!a## por de&ectoE J"> CDu5 e% un &i#trado de pa,uete%E H"> CCu/#e% %on #o% do% principio% b/%ico% %on cr'tico% en e# di%eo de &ire!a##%E A"> CCu/#e% pa%o% %on importante% en #a creacin de un p#an de contingencia para %u %i%tema de &ire!a##E B"> Lo% enrutadore% de &i#trado de pa,uete% pro-een una buena + econmica proteccin" Pero3 %i e%ta e% #a 2nica %eguridad imp#ementada3 Ccua#e% &ueran a#guna% de%-enta7a%3 %i e.i%tenE O"> De&ina ,ue e% un =PN"
;?J
Antonio Perpian
DETECTAR INTRUSOS
TEMAS PRINCIPALES Ob7eti-o% Pregunta% Pre>4.amen Introduccin Detectando 4ntrada For0ada% Ar,uitectura de Deteccin de Intru%o% 1o&t!are de Deteccin de Intru%o% Di%traer e# Crac6er 8e%ponder a Incidente% 8e%umen Pregunta% Po%t>4.amen No. ;JA ;JA ;HJ ?@G ?@J ?JG ?JJ ?HG ;BB ;BB
CAPITULO
OBJETIVOS:
U De&inir #a deteccin de intru%o%" U Li%tar e# u%o de programa% para o#&atear pa,uete% a%' como #o% rie%go% de %eguridad ,ue e%to% programa% repre%entan" U Li%tar #o% e#emento% u%ado% en un 1i%tema de Deteccin de Intru%o% (ID1*3 inc#u+endo #o% admini%tradore% + agente%" U Imp#ementar %o&t!are de deteccin de intru%o%" U In%ta#ar )rip!ire para GNU/Linu." U 8e%ponder correctamente a #a% ruptura% de %eguridad" U De%criba Linu. ID1 (LID1* a%' como %u con&iguracin + u%o"
Pregu !"# Pre$E%"&e 8e%pue%ta% a e%ta% pregunta% %e encuentran en e# Ap5ndice A" $"> CDu5 e% #a deteccin de intru%o%E DEL SISTEMA OPERATIVO GNU/LINUX ;"> CDu5 debe u%ted hacer #uego de detectar ,ue un crac6er e%t/ en #a etapa de penetracin3 de%cubrimiento o #a de contro#E ?"> CDu5 debe u%ted hacer #uego ,ue ha+a re%ue#to un incidente de %eguridadE @"> Luego de de%cubrir ,ue un crac6er ha penetrado %u red3 CDebe u%ted inmediatamente detener o contener #a acti-idadE J"> Luego de haber decidido #o% pa%o% a tomar a# re%ponder un incidente de %eguridad3 CDu5 debe hacer u%ted #uegoE
SEGURIDAD
;?H
Antonio Perpian
INTRODUCCION No importa e# poder de %u% e,uipo% o %u capacidad como admini%trador3 %i %u %itio e% de cierta en-ergadura un d'a e%ta %er/ b#anco de ata,ue por crac6er%" Citando e# %a#mo ?? > T Un 8e+ no e%t/ a %a#-o por %u podero%o e75rcito 3 a%' como un guerrero no e%t/ a %a#-o por %u enorme &uer0a T3 ##e-/ndono% de e%te con%e7o e% ,ue nunca debemo% de%cuidar tanto e# mantenimiento de nue%tro% %i%tema% como #a in-e%tigacin de ,u5 -u#nerabi#idade% han %urgido en #a% ap#icacione% + %er-icio% ,ue o&ertamo%" A%' tambi5n como #a% nue-a% herramienta% + ade#anto% ,ue %e inno-an a diario" Como #o% ata,ue% pueden -enir de%de e# interior de #a organi0acin como de# e.terior3 u%ted debe nunca ba7ar #a guardia" 4n e%te cap'tu#o #e mo%traremo% manera% e%pec'&ica% de detectar3 di%traer + re%ponder a #o% ata,ue% + acti-idade% de crac6er%" DETECTAR INTRUSIONES )omar medida% de %eguridad como mantener %u %i%tema actua#i0ado3 buena% po#'tica% de + conocimiento de rie%go de %eguridad actua#e%3 %on a#guna% de #a% herramienta% ,ue a%i%ten en #a pre-encin de entrada% &or0ada%" U%ted debe e%tar %iempre preparado para tomar accin contra cua#,uier tipo de -io#acin de %u %i%tema" 4%to inc#u+e -igi#ancia para cua#,uier tipo de intru%in" Cada tipo de ata,ue con##e-a %u propia metodo#og'a" 4# e%caneado de puerto% puede probar un rango de puerto% bu%cando cierta% debi#idade%" 4# ata,ue Do1 (Denia# o& 1er-ice* puede inundar un puerto con cierta in&ormacin para de%habi#itar ,ue otro% u%en e# %er-icio o&ertado en e%e puerto" Un e.p#oit de# NF1 (Net!or6 Fi#e 1+%tem* e% en-iar nombre% e.tremadamente #argo% a# daemon de NF1" )odo% e%to% intento% de ata,ue% + mucho% m/% %e mue%tran en #o% regi%tro% de #o% #og% de# admini%trador3 %i e# %e ha preparado para #a e-entua#idad de e%to% ata,ue%" Konitorear %u% #og% de# %i%tema cuidado%amente e% una parte important'%ima de #a admini%tracin de %u %eguridad" 4n e%ta %eccin di%cutiremo% #o% %iguiente% tema% 4%caneado de Puerto% (Port 1can* CDu5 hacer %i #e AtacanE Deteccin Proacti-a E#)" e"+, +e Puer!,# >P,r! S)" ? Ca%i %iempre ante% de un ata,ue e# crac6er e&ectuar/ un e%caneado de puerto%" 4# potencia# intru%o3 e# crac6er3 hace e%to para determinar ,ue %er-icio% + cua#e% puerto% e%t/n di%ponib#e% en e# %i%tema e# cua# e% %u b#anco de ata,ue + ba%ado en #o% puerto% ,ue encuentra concentra %u ata,ue" A,u' e% un e7emp#o de un e%caneado de puerto
Z &"/ $O 1\@I1LOI7I1 1tarting nmap =" ;"J@:4)A?G ( !!!"in%ecure"org/nmap/ * Intere%ting port% on ($O;"$HB"G";* ()he $J@@ port% %canned but not %ho!n be#o! are in %tate c#o%ed* Port 1tate 1er-ice $?J/tcp open #oc>%r$?O/tcp open netbio%>%%n @@J/tcp open micro%o&t>d% $G;J/tcp open #i%ten JGGG/tcp open &ic% 8emote O1 gue%%e% <indo!% Ke or <indo!% ;GGG 8C$ through &ina# re#ea%e3 <indo!% Ki##enium 4dition -@"OG"?GGG Nmap run comp#eted >> $ IP addre%% ($ ho%t up* %canned in ? %econd%
4n e# otro #ado de# e%caneado3 e# uti#itario %ca#ogd ha detectado e%ta acti-idad + #a ha e%crito en e# #og de# %i%tema Ju0- @L 1O:KJ:@E &".@EK #)" 0,g+: 2r,& 1@PI7I7I1 !, 1@PI7I7I1 /,r!# L@P11F KE7FPLFO1JF O@PF O\\II" http //!!!"codigo#ibre"org ;?A
Antonio Perpian
E0 N2S Permite ,ue %i%tema% de archi-o% %ean compartido% tran%parentemente por #a red" 4% un %er-icio mu+ 2ti#3 pero %iempre ha %ido un &oco de prob#ema de %eguridad debido a ,ue cuando &ue di%eado e%to no era de tan gran importancia" 1i #o tiene% ,ue u%ar debe% mantener#o tan actua#i0ado como %ea po%ib#e3 %#o e.portar #o% directorio% ,ue %ean ab%o#utamente nece%ario% + nunca #a ra'0 de# %i%tema" Lo% directorio% ,ue %er/n compartido% %e e%criben en e# archi-o de te.to p#ano /etc/e.port%3 e# archi-o de con&iguracin principa# de# NF1" Lo% ata,ue% m/% reciente %e han concentrado en %obre carga de #o% bu&&er% (bu&&er% o-erun*" Se +&"(0 4%te pa,uete e% in%ta#ado + habi#itado por de&ecto en #a ma+or'a de di%tro% de GNU/Linu." 4%te e% un o de #o% pa,uete% ,ue u%ted debe e%tar %eguro ,ue e%t/ a# d'a +a ,ue %iempre han e.i%tido mucha% &orma% de e.p#oit% para e#" 9a %ido e# b#anco de ata,ue de crac6er% por ao%3 en e# $OBB recibi un ata,ue ,ue de%habi#it $GS de# Internet" 4.i%ten mucha% a#ternati-a% a 1endmai# + #a ma+or'a %on m/% %egura%3 entre e##a% %e encuentra Dmai# + Po%t&i." 1i e% ob#igatorio e7ecutar %endmai#3 e% important'%imo ,ue e%te a# d'a" A!".ue# D,S 4# ob7eti-o de e%te tipo de ata,ue no e% ingre%ar a# %i%tema ,ue e% %u b#anco de ata,ue3 %ino de%habi#itar e# acce%o a# %i%tema para #o% otro%" Fue un ata,ue cuando #a -er%in de# 6erne# andaba por #a ;"G"?;3 + e.p#otaba una &a##a de# )CP/IP no de# 6erne# Linu." )odo% #o% %i%tema% con )CP/IP di%ponib#e eran -u#nerab#e%" Lo% %i%tema% ,ue eran atacado% ten'an ,ue %er reiniciado%" Debido a #a natura#e0a abierta de GNU/Linu.3 #o% parche% &ueron con&eccionado% r/pidamente + #o% admini%tradore% pudieron corregir e%te prob#ema" :Bu; G")er #( 0e A!")" 1 4.i%ten -ario% pa%o% ,ue debe e&ectuar %i %u %i%tema e% atacado3 entre e##o% %e pueden enumerar 8eco#ectar toda #a in&ormacin po%ib#e Determinar ,ue parte de# %i%tema &ue -u#nerado 4&ectuar #o% cambio% nece%ario% 1i %u red ha %ido atacada u%ted debe reco#ectar toda #a in&ormacin po%ib#e" Un buen %itio para empe0ar e% #o% #og% de# %i%tema para -er como + cuando e# crac6er perpetro e# %i%tema" A#guno% atacante% u%an herramienta% ,ue intentan e#iminar e%ta in&ormacin de #o% #og%3 a%' ,ue deber/ tambi5n ob%er-ar #o% #og% por in&ormacin &a#tante" Una e.aminacin e.hau%ti-a debe pro-eer#e con e# m5todo de# atacante + cua# -u#nerabi#idad e# e.p#oto" Una -e0 identi&icada #a -u#nerabi#idad dir'7a%e a #a% di&erente% &uente% de in&ormacin di%ponib#e para e%te tipo de ata,ue" 1i un parche no e.i%te para e%ta -u#nerabi#idad de %eguro ,ue e.i%tir/ a#go ,ue puede hacer mientra% %e de%arro##an #o% parche%3 recuerde ,ue ha+ una comunidad traba7ando para dar %oporte + apo+o a e%te tipo de %ituacin" Por %uerte #a ma+or'a de entrada% en #o% #og% de %i%tema% ,ue %i e%t/n actua#i0ado% %on de intento% &a##ido%" 1i no% mantenemo% #e+endo nue%tro% #og% entonce% podemo% pre-enir e%to% ata,ue% ante% de ,ue %ucedan" #a comunidad Free1o&t!are + Open1ource por #o genera# re%ponde r/pido a debi#idade% de# %i%tema #o torna in2ti# #a% herramienta% de intru%in" 4# mane7o de intento% &a##ido por #o genera# %igni&ica e# b#o,ueo de #a direccin IP de# ho%t ,ue no% o&ende con %u ata,ue + contactar e# I1P re%pon%ab#e por e%e IP" )ambi5n e% buena pr/ctica -i%itar #o% %itio% dedicado% a# a%unto de %eguridad de %i%tema% GNU/Linu. para -er %i e.i%ten e.p#oit% para e# %er-icio ,ue e# crac6er a &a##ado en %u% intento% de atacar" Por %eguro ,ue %ea %u %i%tema3 tarde o temprano a#guien #ograr/ co#ar%e3 a%' e% ,ue debe tener un p#an de contingencia + practicar #o% pa%o% a %eguir3 entre e##o% e% reiniciar + apagar inter&ace%3 reiniciar #o% %er-icio%3 reiniciar e# %er-idor o ha%ta reponer #o% archi-o% de# http //!!!"codigo#ibre"org ;?B
Antonio Perpian %i%tema"
M" e5"r u A!".ue e Pr,gre#, 1i %orprende un ata,ue mientra% #o e%t/n perpetrando3 #o me7or e% ba7ar e# %i%tema en #o ,ue re%ue#-e #a debi#idad ,ue e%taban atacando" Podemo% &'%icamente de%conectar #a inter&a0 de 4thernet" 1i e# %i%tema e% cr'tico + no %e puede ba7ar3 e%ta no e% una opcin" 1i no puede ba7ar e# %i%tema entonce% ta# -e0 tenga ,ue ba7ar o apagar e# %er-icio ,ue atacan3 e%to %e hace de%de #a #inea de comando% con e# uti#itario %er-ice% #erA()e# #erA()(, #!,/" 1i e%te %er-icio e# ,ue atacan e% uno de #o% ,ue %on tambi5n ab%o#utamente nece%ario%3 podemo% b#o,uear e# IP de# atacante o ha%ta %u rango de IP comp#eto3 e%to e% r/pido u%ando iptab#e%3 %i #o tenemo% habi#itado o %i tenemo% un &ire!a## +a e%tab#ecido" N,!('()"r e0 ISP 1i pudo obtener e# IP de# atacante entonce% podr/ u%ar e# uti#itario !hoi% + n%#oo6up para -er ,uien e% e# dueo de# dominio de# cua# e# ata,ue %e origin" 1i e# dueo no &u5 e# atacante entonce% deber/ poder recibir cierta a%i%tencia de# dueo #eg'timo" Re#!"ur"r e0 S(#!e&" 4n %ituacione% a%' %iempre e% bueno %i tenemo% #a a%i%tencia de una herramienta como )rip!ire3 #a cua# no% puede in&ormar cua#e% archi-o% &ueron -io#ado%" )ener bac6up% reciente de #o% archi-o% de# %i%tema3 e% otra herramienta 2ti#3 archi-o% como #%3 ba%h3 #ogin""" e%to% archi-o% %on mucha% -ece% b#anco% de bac6door% + )ro+ano% por #o% crac6er%" 1iempre + cuando %ea po%ib#e deber/ mantener e# %i%tema &uera de #'nea ha%ta ,ue todo %ea re%ue#to" B0,.ue"r 0" D(re))(* IP Una -e0 determine e# dominio de donde &ue atacado3 e% una e.ce#ente idea b#o,uear #a direccin IP3 + %i %o%pecha ,ue #a direccin e% din/mica entonce% ,ui0/% b#o,uear e# b#o,ue comp#eto (%i &ue #a direccin HH"OB";@"?;* entonce% b#o,uear HH"OB";@"G>;JJ HH"OB"G"G*" l:De'e +er#ef1 Nunca debe% cometer e# error de tratar de de&ender%e con un contra>ata,ue" #a ma+or'a de #a% -ece% #o% ata,ue% %on de%de %er-idore% ,ue han %ido comprometido% por #o% crac6er%" 9a+ ata,ue% ,ue (1poo&ing* ,ue no% dan un IP &a#%o3 a%' ,ue recuerde ,ue #o ma% probab#e ,ue a ,uien atacamo% no %ea ,uien no% e%te haciendo dao %ino otra -ictima como no%otro%" 1i %e %iente ,ue debe hacer a#go recurra a #a% autoridade% o e# pro-eedor de %er-icio% e##o% no 7uegan con e%te tipo de ,ue7a%" De!e))(* Pr,")!(A" Debido a ,ue #a gran ma+or'a de ata,ue% ocurren durante #a% hora% nocturna%3 #a% t5cnica% de deteccin proacti-a (autom/tica%* %on a menudo #a 2nica manera de recha0ar #o% atacante% potencia#e% durante e%ta% hora% ,ue no e%tamo% pre%ente" Una po#'tica e&ecti-a de deteccin %iempre debe inc#uir #a% auditoria%3 u%ted debe a%egurar%e de ,ue %u %i%tema %iempre pueda detectar prob#ema% + ,ue pre%ente %o#ucione% automati0ada%" E#)" e"+,# +e Segur(+"+ Au!,&C!(),# Como %e di7o anteriormente3 %u %i%tema e% mu+ -u#nerab#e durante #a% hora% de #a% noche%" Podemo% e7ecutar a#guno% %cript% en batch ,ue no% creen #og% de ,uien e%t/ ingre%ado en e# %i%tema + ,ue recur%o% e%t/ acce%ando" Podemo% e7ecutar e%to% + otro% %cript% de %eguridad3 durante #a% hora% ,ue nue%tro %i%tema tiene meno% carga e7ecut/ndo%e" 4%ta pr/ctica e% para e-itar aadir carga durante nue%tra hora de ma+or producti-idad" Lo% %cript% http //!!!"codigo#ibre"org ;?O
Antonio Perpian
%on herramienta% podero%a% ,ue podemo% uti#i0ar para tambi5n generar re%pue%ta% autom/tica% de# %i%tema" 4%ta% t5cnica% %on mu+ 2ti#e% %i %o%pecha de a#g2n tipo de intru%in pero no ha podido con&irmar %u% %o%pecha%" L,# S)r(/!# Lo% %cript% de #ogin %on por #o genera# u%ado% para per%ona#i0ar e# ambiente de traba7o de #o% u%uario% cuando e&ect2an un ingre%o a# %i%tema e.ito%o" 4%to% %cript% %on e7ecutado% cada -e0 ,ue e# u%uario ingre%a a# %i%tema" Adem/% de e%ta tarea3 #o% #ogin %cript% pueden %er u%ado% para a%i%tir en #a %eguridad de# %i%tema + %u% rede%" Lo% crac6er% tiene ,ue #ograr obtener acce%o a una cuenta pri-i#egiada3 #a cuenta de GNU/Linu. m/% atracti-a c#aro e%ta e% #a de root" 4# admini%trador de %eguridad puede modi&icar e%to% %cript% para ,ue #e e&ect2e uti#idade% de auditoria" Un e7emp#o e%3 crear uno para cuando e# root ingre%e a# %i%tema" 4%te %cript puede e%cribirno% un #og con e# nombre de# ho%t de# cua# e# ingre%o + %u direccin IP de# %i%tema ,ue %e intenta e7ecutar e# #ogin" 4%ta in&ormacin no% %ir-e para #uego comparar para identi&icar cua#,uier intento de #ogin %o%pecho%o de #a cuenta root" Au+(!,r3" +e A C0(#(# Au!,&C!(), Lo% #og% pro-een nue%tra primera #'nea de in&ormacin para pre-enir roptura% en nue%tro %i%tema de %eguridad" Lo m/% di&'ci# e% decidir ,ue e%cribir a# #og" Lo ,ue podemo% e%cribir a# #og %on do% accione%3 e.ito%a% + no e.ito%a%" Podemo% tambi5n monitorear #oca#idade% como e# router o un %er-icio en particu#ar" Un con%e7o e% ,ue para e%cribir a# #og mu+ poco ,ue %ea dema%iado" Lo% #og% tienden a %er inmen%o%3 por e%to e% mu+ acon%e7ab#e e%cribir %cript% para ,ue ana#icen #a acti-idad de %u red autom/ticamente" 4%te tipo de automati0acin reducen e# tiempo de# admini%trador dedicar a monitorear3 reducen co%to% admini%trati-o% + me7oran #o% ni-e#e% de %u %eguridad" 4%to% %cript% bu%can patrone% e%pec'&ico% en #o% #og%" A C0(#(# +e CGe)D#u& Lo% crac6er% mu+ a menudo entran a %u computador para p#antar un )ro+ano di%&ra0ado como un comando com2n de# %i%tema (e7" #%3 cat3 echo*" Lo ,ue e# e%pera e% o ,ue e# comando %e e7ecute autom/ticamente o durante un reinicio" 1i u%ted %o%pecha de e%to tendr/ ,ue ana#i0ar #o% archi-o% de# %i%tema para a%egurar%e ,ue e# crac6er no ha a#terado ninguno de e%to%" 4.i%te %o&t!are ,ue e%canearan autom/ticamente #o% archi-o% para comparar#o% por tamao3 &echa% de acce%o3 creacin3 modi&icacin + in&ormacin re#acionada" Lo% re%u#tado% #uego %on comparado% con -a#ore% a#macenado% de e%caneado% anteriore%" 1i un archi-o ha %ido modi&icado o %u e%tampado de &echa + %u tamao no igua#an #o% anteriore%3 entonce% #o m/% %eguro e% ,ue e# archi-o ha %ido reemp#a0ado con un )ro+ano" 1i e%to %ucede entonce% debe inmediatamente reemp#a0ar e# archi-o a&ectado + proceder a in-e%tigar por donde &ue ,ue e# crac6er ingre%o" 4.i%ten herramienta% di%ponib#e% para a%i%tirno% en e# proce%o de e%te an/#i%i%" 4%ta% herramienta% %on ab%o#utamente nece%aria% para poder e&ectuar e%ta% auditoria%" 4##a% reducen e# tiempo3 a -ece% tedio%o3 de #a imp#ementacin de# an/#i%i%" ARBUITECTURA DE DETECCION DE INTRUSION Con e# crecimiento en popu#aridad de #a% rede%3 #a cantidad de tr/&ico ,ue e# admini%trador de %i%tema e% re%pon%ab#e3 %igue creciendo" La% herramienta% de auditor'a %e con-ierte cada d'a m/% + m/% indi%pen%ab#e" Un %i%tema de deteccin de intru%o (ID1*3 puede dram/ticamente %imp#i&icar %u% procedimiento de monitorear #a red" U%ted debe tener comp#eto conocimiento ,ue traba7o puede e&ectuar un ID1 + cua# e# no e% capa0" una herramienta ,ue %iempre ha e%tado + %igue rindiendo %er-icio e% tcpdump3 #a cua# e% una de #a% me7ore% herramienta% para ana#i0ar e# tr/&ico 8A< de #a red" U%ted debe %aber cua# e% #a ar,uitectura de %u red para %aber %i e%t/ con&igurada apropiadamente" Lo% %iguiente% tema% %on di%cutido% en e%ta %eccin http //!!!"codigo#ibre"org ;@G
Antonio Perpian CDu5 e% #a Deteccin de Intru%o%E O#&ateado de Pa,uete% (Pac6et 1ni&&ing* Uti#itario% de O#&ateado de Pa,uete% )ipo% de Deteccin de Intru%o% 8eg#a% de ID1 Po%iti-o% Fa#%o%
:Bu; e# 0" De!e))(* +e I !ru#,#1 4# monitoreo detr/% de# &ire!a## de #a acti-idad de #a red en tiempo rea# e% conocido como deteccin de intru%o%" La deteccin de intru%o e% nada m/% ,ue una e.ten%in de %u &ire!a##3 u%ted puede e%cribir a# #og + detener acti-idad de #a red de%de %u monitoreo" )ambi5n puede con&igurar#a para ,ue traba7e en con7unto con %u enrutador + e# &ire!a##" 4%ta capacidad + punto de -i%ta3 no debe %er con&undido de ,ue #o% ID1% %on independiente% de# &ire!a##" Un ID1 no debe %er con&undido con #o% e%caneado% de %i%tema" Lo% e%caneadore% de %i%tema% (%+%tem %canner%* ponen a prueba un ho%t para determinar %u% debi#idade% contra una ba%e de dato% de ata,ue%" 1e concentra en con&iguracione% d5bi#e% e%pec'&ica% + no en #a acti-idad actua# de #a red3 +a %ea #a entrante o %a#iente" Aun,ue e# programa de e%caneado e%tu-ie%e traba7ando a# in%tante de# ata,ue no #o detectar/ +a ,ue e%a no e% una de %u% &uncione%" Lo% pa,uete% de ID1 %i e%canean #a acti-idad actua# de #a red en #a manera ,ue pa%a por #a inter&a0 de red" Un ID1 entonce% &i#tra e# tr/&ico de acuerdo a reg#a% en e%pec'&ico" Donde3 #o% e%c/ner de red bu%can debi#idade% prede&inida% en un ho%t3 un programa ID1 monitorea + e%cribe a #og e# tr/&ico de #a red" 1i un ID1 e%t/ operando un ho%t + u%ted #e pa%a un e%c/ner a e%te ho%t3 %i #a ap#icacin ID1 e%t/ bien con&igurada e%t/ #an0ar'a una a#erta %egura" C"/")(+"+e# La ma+or'a de ap#icacione% de ID1 pueden e&ectuar an/#i%i% e.tremadamente deta##ado% de# tr/&ico de #a red" 4##o% pueden monitorear cua#,uier tr/&ico ,ue u%ted pueda de&inir#e" Kucho% de e%to% programa% traen e%tab#ecido patrone% para 9))P3 F)P + otro% tr/&ico% adiciona#e% como %on #o% intento% de ingre%o remoto% + #oca#e%3 entre otra% co%a%" Pero3 u%ted puede e%tab#ecer %u% propia% po#'tica%" Ahora di%cutiremo% a#guna% de #a% t5cnica% de deteccin m/% comune%" A+&( (#!r"r e0 TrC'(), +e 0" Re+ La% ap#icacione% ID1 #e permiten a u%ted e%cribir a #o% #og%3 reportar + prohibir ca%i todo tipo de acce%o a #a red" U%ted puede tambi5n u%ar e# programa para monitorear e# u%o de un ho%t de# acce%o a #a red" U%ted puede obtener in&ormacin deta##ada de# tr/&ico de 1K)P3 F)P3 )e#net + cua#,uier otro ,ue u%ted de%ee %iempre + cuando u%ted de&ina una po#'tica + un con7unto de reg#a% a %eguir" 4%ta% reg#a% de comportamiento #e pueden a+udar a in-e%tigar cone.ione% determinar ,ue ocurri + ,ue e%t/ ocurriendo en e%te momento" 4%ta% herramienta% %on e.tremadamente e&ecti-a% cuando u%ted de%ea determinar ha%ta ,ue grado %u% po#'tica% e%t/n %iendo obedecida%" 8ecuerde ,ue de #a mi%ma manera ,ue u%ted puede u%ar una de e%ta% ap#icacione% ID13 un emp#eado puede tambi5n hacer#e + reco#ectar mucha in&ormacin %en%ib#e" No %#o puede un crac6er #eer cua#,uier in&ormacin no encriptada en-iado en e# %i%tema3 %ino ,ue e# puede tambi5n o#&atear cua#,uier contra%ea + in&ormacin %en%ib#e de protoco#o% en u%o" Una de %u% tarea% m/% importante e% #a deteccin de e%te tipo de programa en %u red3 ,ue no e%te autori0ado %u u%o" http //!!!"codigo#ibre"org ;@$
Antonio Perpian
E#)" e"+, +e0 S(#!e&"F J"(0# >CCr)e0e#? - e0 IDS 9emo% mencionado ,ue deber/ incorporar di&erente e%trategia% para ,ue #o% ni-e#e% de %u %eguridad %ean e&ecti-o%" 4%to inc#u+e in%ertar pe,ueo% contro#e% a todo% #o% ni-e#e% de %u red3 de%de e# %i%tema operati-o ha%ta #o% e%caneadore%3 ap#icacione% ID1 + ma% importante de todo %u &ire!a##" da hemo% hab#ado de #a imp#ementacin de e%caneadore% de# %i%tema" Kucho% admini%tradore% de %eguridad combinan e%ta% ap#icacione% con un ID1" 8e-i%in de #a integridad de# %i%tema3 a#to ni-e#e% de #og%3 pri%ione% de crac6er% + ap#icacione% &anta%ma% de di%traccin %on todo% m5todo% + herramienta% ,ue %e pueden u%ar en di&erente combinacione% con %u ID1" R"#!re"+, +e EAe !,# >Tr")( g? Un buen ID1 e% mucho m/% ,ue una %imp#e herramienta de #oggingI e%ta debe poder determinar dnde un e-ento tom #ugar" Para #o% admini%tradore% de %eguridad e%ta e% #a ra0n principa# por #a cua# e##o% imp#ementan un ID1" Con #a #oca#i0acin de un ata,ue3 u%ted puede aprender m/% %obre %u atacante" 4%te conocimiento #e a+udar/ a di%ear una %o#ucin a# prob#ema a%' como documentar e# ata,ue por %i ha+ ,ue tomar accione% #ega#e%" :E# 0" De!e))(* +e I !ru#(* Ne)e#"r("1 No %e de7e con&undir + co#ocar toda %u con&ian0a en %u% &ire!a##%" Con e# crecimiento de #o% ni-e#e% in&orm/tico% de toda #a %ociedad3 e# crac6ing dirigido por emp#eado% interno crece m/% a2n ,ue e# e.terno" Lo% ata,ue% de %u red pueden %urgir de# emp#eado ,ue u%ted meno% #o cree" Lo% ID1 %on cada d'a m/% nece%ario% debido a ,ue pueden bu%car prob#ema% de &a##a% a po#'tica% pre>e%tab#ecida% de %eguridad + acti-idade% i#'cita% detr/% de# &ire!a##" Nue-a% tecno#og'a% %on de%arro##ada% todo e# tiempo ,ue pueden bur#ar #o% me7ore% %i%tema% de &ire!a##%" Un buen e7emp#o e% e# =PN3 ,ue crea una cone.in ,ue puede tornar ino&en%i-a un buen &ire!a##" Aun,ue un =PN e% mu+ %egura3 por #o meno% uno de #o% punto% puede %er comprometido con programa% como %on root 6it o Net:u%" 4# %i%tema comprometido o -io#ado puede traer aba7o todo e# %i%tema de &ire!a##" Por e%ta% + mucha% otra% ra0one% e% ,ue un ID1 e% una parte importante de %u e%trategia de %eguridad" C, )er (e !e "0 IDS Lo% crac6er% pueden coordinar ata,ue% para %obre cargar nue%tro% ID1" 4# re%u#tado de e%te tipo de ata,ue e% ,ue e# ID1 puede %er u%ado como un a#iado de# crac6er para ,ue %in %u conocimiento %e con-ierta en un participante de# ata,ue Do1" Adem/%3 #o% crac6er% pueden tratar de coordinar %u% ata,ue% para ,ue e# ID1 no pueda %uper-i%ar + e%cribir a #o% #og% %u% acti-idade% en #a red" O0'"!e"+, +e P".ue!e# >P")De! S (''( g? Lo% pac6et %ni&&er% %on uti#itario% ,ue pueden %er u%ado% para monitorear + e%cribir a #og e# tr/&ico a tra-5% de #a captura o de%p#iegue de #a in&ormacin de #o% pa,uete% ,ue pa%an por e# computador ho%t" 4%to% programa% %on mu+ 2ti#e% para diagno%ticar errore% + monitorear tr/&ico en una red" Lo% %ni&&er%3 c#aro e%t/3 pueden %er un gra-e prob#ema %i tenemo% u%uario% de nue%tra red reco#ectando in&ormacin de contra%ea%3 de archi-o% per%ona#e% o3 en genera#3 cua#,uier tr/&ico no de%tinado a e##o%" 4% po%ib#e detectar m/,uina% ,ue e%t5n o#&ateando3 aun,ue no e% un proce%o comp#etamente autom/tico + e%t/ a merced de #o% capricho% de# %i%tema operati-o ,ue ,ueramo% #oca#i0ar" :Bu; e# P")De! S (''( g1 Lo% programa% ,ue ##e-an a cabo e# %ni&&ing de pa,uete% intencionado% para otro% %i%tema%3 co#ocando e# http //!!!"codigo#ibre"org ;@;
Antonio Perpian
computador ,ue e%cucha en modo promi%cuo" 4n genera#3 #a% t5cnica% uti#i0ada% para #a deteccin de %ni&&er% parten de ,ue3 para o#&atear tr/&ico en red3 una computadora debe poner %u inter&a0 de red en modo promi%cuo >> De%habi#itar un &i#tro en hard!are di%eado para ahorrar carga a# %i%tema operati-o3 ,ue de%carta todo% #o% pa,uete% ,ue no e%t5n dirigido% a e%a tar7eta en particu#ar o a #a direccin KAC de broadca%t (GG GG GG GG GG GG*" 4%to re,uiere de permi%o% admini%trati-o% para poder recon&igurar e# e,uipo" )odo e%to pone a demo%tracin #a nece%idad de po#'tica% de %eguridad3 concienti0ar #o% u%uario% + #o% ni-e#e% de con&ian0a para #o% u%uario% #oca#e%" Aun,ue #o% admini%tradore% #oca#e% tengan contro# tota# %obre todo% #a% e%tacione% de traba7o3 una per%ona puede de%conectar un !or6%tation + conectar una #aptop per%ona# + a%' tendr/ acce%o a co#ocar un %ni&&er por #o meno% en un %egmento de #a red" :Bu; e# e0 M,+, Pr,&(#)u,1 4# modo promi%cuo e% un modo de operacin en e# ,ue una computadora conectada a una red compartida captura todo% #o% pa,uete%3 inc#u+endo #o% pa,uete% de%tinado% a otra% computadora%" 4% mu+ 2ti# para %uper-i%ar #a red3 pero pre%enta un rie%go de %eguridad dentro de una red de produccin" Kucha% inter&ace% norma#e% permiten uti#i0ar e%te modo3 aun,ue ha+ a#guna% tar7eta% como #a% )o6en 8ing de I:K ,ue no permiten e%te &uncionamiento por de&ecto" Una tar7eta o p#aca en modo promi%cuo no %o#amente recibir/ tr/&ico propagado en %u %egmento #oca#3 %ino ,ue tambi5n de%p#egar/ e# tr/&ico ,ue por #o genera# &ue%e ignorado por toda% #a% tar7eta% de red e.cepto e%a ,ue igua#a e# n2mero de KAC re&erenciado en e# header o cabe0a# de# pa,uete )CP" Kientra% un admini%trador de rede% puede emp#ear mucho tiempo en con%eguir ,ue %u red %ea di&'ci# de %er atacada mediante %ni&&er% uti#i0ando &ire!a##%3 %!itche%3 detectore% de modo promi%cuo3 etc"3 #o cierto e% ,ue #a me7or &orma de proteger%e ante e%to% ata,ue% e% #a de encriptar e# tr/&ico de red" U#"r u S (''er Como todo3 no %e con&unda + pien%e ,ue e% tan &/ci# como %uena e&ectuar e# o#&ateado de pa,uete%" Lo% %ni&&er% #een #o% pa,uete% como data binaria3 #o ,ue hace ,ue %ea di&'ci# de de%ci&rarI mucho% %ni&&er% inc#u+e en de%p#iegue en un modo de data 2ti#3 a#guno% inc#u+en &i#tro% para %#o concentrar%e en cierto tipo de data3 como %on #a% contra%ea%3 direccione% <eb o #o% correo% e#ectrnico%" La pr/ctica% de %ni&&ing %e di&icu#tan cada d'a m/% a medida ,ue #o% 9U:1 %on reemp#a0ado% con %!itche%" Lo% %!itche% retran%miten data %e#ecti-amente3 haciendo e# traba7o de %ni&&ing ca%i impo%ib#e" La di&erencia e% ,ue un 9U:3 retran%mite todo% #o% pa,uete% %in ninguna di%criminacin" Como no toda #a in&ormacin e% retran%mitida3 e# %ni&&er %#o podr/ #eer #a data ,ue e%t/ dirigida a %u ho%t" Con-ertir %u red de hub% a %!itch no nece%ariamente %o#uciona todo e# prob#ema3 +a ,ue a#guno% %!itche% permiten ,ue una %ea# e%tab#e0ca uno de %u% puerto% en modo admini%trati-o3 + a%' retran%mitir/ en &orma de eco3 todo e# tr/&ico ,ue pa%a por e# %!itch a e%e puerto" 4%ta caracter'%tica puede %er mu+ 2ti# para e# admini%trador pero e% un rie%go de %eguridad en mano% de un u%uario norma#" 4% un error pen%ar ,ue #a% di&icu#tade% ,ue en&renta un crac6er determinado #o detendr/" U!(0(!"r(,# +e O0'"!e"+, +e P".ue!e# Lo% %ni&&er% pueden %er una pe%adi##a para un admini%trador %i %on uti#i0ado% por u%uario% no autori0ado%" 1in embargo3 ha+ poca% herramienta% tan podero%a% como e%ta% para detectar prob#ema% en nue%tra red" 4% indi%pen%ab#e para un admini%trador de %i%tema% e# conocer a# meno% e# &uncionamiento b/%ico de e%ta% herramienta% + uti#i0ar#a% como parte de %u rutina cotidiana" 4ntre #o% m/% 2ti#e% encontramo% a !)/+u&/: Uno de #o% %ni&&er% m/% comune% >> &orma parte de# %i%tema ba%e de Open:1D3 e%t/ empa,uetado http //!!!"codigo#ibre"org ;@?
Antonio Perpian
para pr/cticamente toda% #a% di%tribucione% de GNU/Linu.3 + e%t/ di%ponib#e para cua#,uier otro %i%tema UNiX" No% permite traba7ar r/pidamente de%de #'nea de comando e%peci&icando #o% patrone% ,ue no% intere%an3 puede e.aminar una gran cantidad de protoco#o%3 puede guardar e# &#u7o capturado en un archi-o o tomar un archi-o como &uente para e# &#u7o a ana#i0ar" Por e7emp#o3 un pa,uete de #ongitud ma+or de OOO %on e%crito% a# archi-o #og"te.to en e%ta %entencia Q !)/+u&/ $M 0,gI!e%!, gre"!er \\\ gre/: )iene una &i#o%o&'a de u%o mu+ %imi#ar a #a de# comando ZgrepZ de UNiX3 tomando como entrada e# &#u7o de #a red en -e0 de archi-o% #oca#e%" # ,r!: Ku+ comp#eta herramienta de deteccin de intru%o% en red3 toma como entrada e# tr/&ico capturado en una red + #o -a comparando cun una %erie de reg#a%3 regi%trando cua#,uier tr/&ico %o%pecho%o de ##e-ar un ata,ue" 1nort 2nicamente #o regi%tra3 pero puede traba7ar en con7unto con otra% herramienta% (hog!a%h3 ACID3 etc"* para %anear e# tr/&ico3 b#o,uear a #a m/,uina atacante3 generar reporte%3 etc" M"!)G: Forma#mente e% un %ni&&er3 pero e% m/% bien una herramienta para rea#i0ar #o ,ue %u% autore% de&inen como barrido% de puerto% pa%i-o% Para detectar puerto% ,ue e%t/n abierto% por mu+ corto% periodo% de tiempo + para no mo%trar acti-idad %o%pecho%a de barrido3 n!atch %e ,ueda e%cuchando #a acti-idad de #a red3 + manteniendo una #i%ta de ,u5 ho%t% pro-een ,u5 %er-icio%" e!Gere"0: Un magn'&ico %ni&&er con inter&a0 gr/&ica de u%uario3 no% brinda un an/#i%i% comp#eto + deta##ado de cada pa,uete a -ario% ni-e#e%3 de%de ni-e# 4thernet ha%ta deta##e% de di-er%o% protoco#o%" 4% capa0 de con-ertir en adiccin e# comprender cmo &uncionan determinado% protoco#o% I>* e!!er)"/: Poca% de e%ta% herramienta% &uncionan adecuadamente en rede% %!itcheada%" 4ttercap uti#i0a t5cnica% m/% de %ombrero negro3 como e# A8P %poo&ing/poi%oning3 para permitir hu%mear rede% %!itcheada%" Adem/% de %ni&&er e% interceptor (permite in+ectar dato% en cone.ione% e.i%tente% o T%ecue%trarT cone.ione%*" D(#&e!: 1ni&&er e%pec'&ico a GNU/Linu. para rede% ina#/mbrica%" Funciona correctamente con #o% do% principa#e% tipo% de tar7eta% ina#/mbrica%" # (''(!: Otra ap#icacin popu#ar de %ni&&ing3 ,ue opera de%de #a #'nea de comando% + comparte mucha% de #a% caracter'%tica% de tcpdump" A di&erencia de tcpdump ,ue %#o de%p#iega #o% cabe0a#e%3 %ni&&it puede de%p#egar adem/% e# contenido de# pa,uete" debemo% e%peci&icar como m'nimo #a direccin IP de origen o de de%tino de #a ,ue ,ueremo% tomar #o% pa,uete%" )ambi5n podemo% e%peci&icar e# puerto + e# protoco#o" Por e7emp#o para e%cribir a #og toda% #a% cone.ione% a un correo e%pec'&ico Q # (''(! $! &"(0I/rue4"I),& $/ @J 1i ,ueremo% e%cribir a #og todo e# tr/&ico !eb de #a gente ,ue %e conecta a una !eb3 hemo% de tomar tanto #a% cone.ione% hacia como de%de e%e %er-idor !eb Q # (''(! $! MMMI/rue4"I),& $/ O7 ` >DESTINO? Q # (''(! $# MMMI/rue4"I),& ` >ORIGEN? Como -emo% podemo% de7ar e# programa corriendo en %egundo p#ano (V* para %eguir traba7ando mientra% e# %ni&&er contin2a %u #abor" )ambi5n podemo% acti-ar #a -er%in interacti-a3 ,ue no% mo%trar/ con una inter&a0 ba%ada en ncur%e% #a% cone.ione% ,ue %e e%t/n produciendo e introducirno% en e##a% para -er#o en tiempo rea#" http //!!!"codigo#ibre"org ;@@
Antonio Perpian
1ni&&it guarda cada pa,uete% interceptado% en archi-o% con nombre IPO8IG4N"PU48)O"IPD41)INO"PU48)O o tambi5n permite e%peci&icar un archi-o 2nico para toda% #a% cone.ione% con #a opcin >r" T(/,# +e De!e))(* +e I !ru#,# L#egado% a e%te punto e% intere%ante c#a%i&icar de a#g2n modo #o% di%tinto% %i%tema% de deteccin de intru%o%" 4.i%ten do% categor'a% de ar,uitectura% de ID13 #a% ba%ada% en ho%t 9ID1 + #a% ba%ada% en red #a% NID1" Cada una tiene %u% -enta7a% + de%-enta7a%" Aun,ue #a 9ID1 e% m/% ambicio%a + no% pro-ee m/% in&ormacin3 no %iempre e% #a me7or e#eccin" 9a+ otra %ub>c#a%i&icacin po%ib#e3 ,ue a,u' %e e.p#ica pero no #a ana#i0aremo% con pro&undidad3 ,ue e% L,# S(#!e&"# E T(e&/, Re"0: Permanecer/n con%tantemente che,ueando e# %i%tema bu%cando a#guna %ea# de un incidente de %eguridad e inmediatamente pro-ocar/n una a#arma" L,# S(#!e&"# N, T(e&/, Re"0: Por contra3 #o% %i%tema% de deteccin de intru%o% ,ue no %on de e%te tipo %e u%an genera#mente cuando e.i%te #a creencia de ,ue e%tamo% ante un incidente de %eguridad + %e u%an para recabar in&ormacin de# tipo + a#cance de e%ta incidencia3 genera#mente %obre regi%tro% o in&ormacin de# %i%tema" NIDS 1i%tema% ,ue ob%er-an e# tr/&ico de red bu%cando a#g2n indicio de un ata,ue conocido" Genera#mente un inter&a0 en modo promi%cuo bu%cando dato% %obre una red" (1ue#en pertenecer tambi5n a# tipo tiempo rea#*" Por #o genera# re,uieren una 2nica in%ta#acin en e# %er-idor" La ap#icacin o e# %er-icio e%canean toda #a tran%mi%in en una %ubnet para determinar acti-idad de red en tiempo rea#" 4%te tipo de ap#icacin act2a como ambo% e# manager + e# agente" La red act2a de &orma pa%i-a + e# ho%t donde %e encuentra in%ta#ado e# ID1 hace todo e# traba7o" La ma+or parte de #o% %i%tema% de deteccin de intru%o% e%t/n ba%ado% en red" 4%to% ID1% detectan ata,ue% capturando + ana#i0ando pa,uete% de #a red" 4%cuchando en un %egmento3 un NID1 puede monitorear e# tr/&ico ,ue a&ecta a m2#tip#e% ho%t% ,ue e%t/n conectado% a e%e %egmento de red3 protegiendo a%' a e%to% ho%t%" Lo% ID1% ba%ado% en red a menudo e%t/n &ormado% por un con7unto de %en%ore% #oca#i0ado% en -ario% punto% de #a red" 4%to% %en%ore% monitorean e# tr/&ico rea#i0ando an/#i%i% #oca# e in&ormando de #o% ata,ue% ,ue %e producen a #a con%o#a de ge%tin" Como #o% %en%ore% e%t/n #imitado% a e7ecutar e# %o&t!are de deteccin3 pueden %er m/% &/ci#mente a%egurado% ante ata,ue%" Kucho% de e%to% %en%ore% %on di%eado% para correr en modo ocu#to3 de ta# &orma ,ue %ea m/% di&'ci# para un atacante determinar %u pre%encia + #oca#i0acin" Ve !"5"# - De#Ae !"5"# Ve !"5"#: Un ID1 bien #oca#i0ado puede monitori0ar una red grande3 %iempre + cuando tenga #a capacidad %u&iciente para ana#i0ar todo e# tr/&ico" Lo% NID1% tienen un impacto pe,ueo en #a red3 %iendo norma#mente di%po%iti-o% pa%i-o% ,ue no inter&ieren en #a% operacione% habitua#e% de 5%ta" 1e pueden con&igurar para ,ue %ean mu+ %eguro% ante ata,ue% haci5ndo#o% in-i%ib#e% a# re%to de #a red" De#Ae !"5"#: Pueden tener di&icu#tade% proce%ando todo% #o% pa,uete% en una red grande o con mucho tr/&ico + pueden &a##ar en reconocer ata,ue% #an0ado% durante periodo% de tr/&ico a#to" A#guno% -endedore% e%t/n ;@J
Antonio Perpian
intentando re%o#-er e%te prob#ema imp#ementando ID1% comp#etamente en hard!are3 #o cua# #o% hace mucho m/% r/pido%" Lo% ID1% ba%ado% en red no ana#i0an #a in&ormacin ci&rada" 4%te prob#ema %e incrementa cuando #a organi0acin uti#i0a ci&rado en e# propio ni-e# de red (IP1ec* entre ho%t%3 pero %e puede re%o#-er con una po#'tica de %eguridad m/% re#a7ada (por e7emp#o3 IP1ec en modo t2ne#*" Lo% ID1% ba%ado% en red no %aben %i e# ata,ue tu-o o no 5.ito3 #o 2nico ,ue pueden %aber e% ,ue e# ata,ue &ue #an0ado" 4%to %igni&ica ,ue de%pu5% de ,ue un NID1 detecte un ata,ue3 #o% admini%tradore% deben manua#mente in-e%tigar cada ho%t atacado para determinar %i e# intento de penetracin tu-o 5.ito o no" A#guno% NID1 tienen prob#ema% a# tratar con ata,ue% ba%ado% en red ,ue -ia7an en pa,uete% &ragmentado%" 4%to% pa,uete% hacen ,ue e# ID1 no detecte dicho ata,ue o ,ue %ea ine%tab#e e inc#u%o pueda ##egar a caer"
HIDS :a%ado% en e# ho%t" 4%to% %i%tema% recaban in&ormacin de# %i%tema para rea#i0ar un an/#i%i% de #a% po%ib#e% incidencia% pero %iempre de%de e# punto de -i%ta de# propio %i%tema + con %u% recur%o%" Lo% 9ID1 &ueron e# primer tipo de ID1% de%arro##ado% e imp#ementado%" Operan %obre #a in&ormacin recogida de%de dentro de una computadora3 como pueda %er #o% archi-o% de auditor'a de# %i%tema operati-o" 4%to permite ,ue e# ID1 ana#ice #a% acti-idade% ,ue %e producen con una gran preci%in3 determinando e.actamente ,u5 proce%o% + u%uario% e%t/n in-o#ucrado% en un ata,ue particu#ar dentro de# %i%tema operati-o" A di&erencia de #o% NID1%3 #o% 9ID1% pueden -er e# re%u#tado de un intento de ata,ue3 a# igua# ,ue pueden acceder directamente + monitorear #o% archi-o% de dato% + proce%o% de# %i%tema atacado" Ve !"5"#: Lo% ID1% ba%ado% en ho%t3 a# tener #a capacidad de monitorear e-ento% #oca#e% a un ho%t3 pueden detectar ata,ue% ,ue no pueden %er -i%to% por un ID1 ba%ado en red" Pueden a menudo operar en un entorno en e# cua# e# tr/&ico de red -ia7a ci&rado3 +a ,ue #a &uente de in&ormacin e% ana#i0ada ante% de ,ue #o% dato% %ean ci&rado% en e# ho%t origen +/o de%pu5% de ,ue #o% dato% %ea de%ci&rado% en e# ho%t de%tino" De#Ae !"5"#: Lo% ID1% ba%ado% en ho%t% %on m/% co%to%o% de admini%trar3 +a ,ue deben %er ge%tionado% + con&igurado% en cada ho%t monitoreado" Kientra% ,ue con #o% NID1 ten'amo% un ID1 por m2#tip#e% %i%tema% monitoreado%3 con #o% 9ID1 tenemo% un ID1 por %i%tema monitoreado" 1i #a e%tacin de an/#i%i% %e encuentra dentro de# ho%t monitoreado3 e# ID1 puede %er de%habi#itado %i un ata,ue #ogra tener 5.ito %obre #a m/,uina" No %on adecuado% para detectar ata,ue% a toda una red (por e7emp#o3 e%caneado de puerto%* pue%to ,ue e# ID1 %o#o -e a,ue##o% pa,uete% de red en-iado% a 5#" Pueden %er de%habi#itado% por cierto% ata,ue% de Do1" U%an recur%o% de# ho%t ,ue e%t/n monitoreando3 in&#u+endo en e# rendimiento de# %i%tema monitoreado" Reg0"# +e IDS A# igua# ,ue con #o% &ire!a##%3 u%ted deber/ e%tab#ecer reg#a% con cua#,uier ID1" La gran ma+or'a de ap#icacione% ID13 -ienen +a con reg#a% prede&inida%" Lo m/% %eguro ,ue tendr/% ,ue editar reg#a% e.i%tente% + agregar otra% para pro-eer #a proteccin optima para cada red ,ue debe auditar" La% reg#a% ,ue u%ted crear/ caer/n en do% categor'a% por #o genera# anoma#'a% de #a red + ma#u%o de #a red" http //!!!"codigo#ibre"org ;@H
Antonio Perpian
Un buen ID1 puede genera#mente en&or0ar ciento% de reg#a%" Una ap#icacin GPL3 1nort3 tiene m/% de $3GGG &i#tro% para (reconocer* #a% hue##a% de ata,ue% en e%pec'&ico%" A ,&"03"# +e 0" Re+ Un ID1 gener/ reporte% cuando acti-idade% no con-enciona#e% ocurran a ni-e# de protoco#o" 1i e%ta con&igurado correctamente3 e# ID1 #e in&ormar/ de ata,ue% 1mur&3 Net:u% o teardrop3 por e7emp#o o #e a#ertar/ de #a pre%encia de un n2mero no ordinario de cone.ione% 1dN" M"0 U#, +e 0" Re+ 4# ma# u%o de #a red inc#u+e entre otra% co%a%3 acti-idade% no producti-a%3 como na-egar en Internet3 #a in%ta#acin de programa% o %er-icio% no autori0ado3 como un %er-idor F)P3 + e# u%o de 7uego% como Dua6e + Doom" U%ted puede e%cribir a #og e%te tipo de acti-idad3 b#o,uear#a o re%ponder a e##a interacti-amente" Por e7emp#o podemo% u%ar una ap#icacin para ,ue #ance un contra>ata,ue o abra #a puerta a otro %i%tema o red &anta%ma" 4# ma# u%o re%u#ta de ata,ue% de# %i%tema &'%ico o remoto" Un ata,ue &'%ico inc#u+e e# robo de un di%co duro o #a habi#idad de &'%icamente manipu#ar e# computador para ,ue no% arro7e in&ormacin" Un ata,ue de# %i%tema ocurre cuando un u%uario autenti&icado intenta ad,uirir #o% pri-i#egio% de root" Un ata,ue remoto ocurre cuando un u%uario #ogra ingre%ar a nue%tro %i%tema de%de #a red e.terna" A))(, e# 4n #a ma+or'a de ap#icacione% ID13 u%ted puede ap#icar accione% a #a% reg#a% o po#'tica%" A medida ,ue u%ted de&ina una reg#a3 por #o genera# u%ted debe con%iderar como + cuando #a reg#a %e ap#icar/ a #a red" 4#emento% adiciona#e% de una reg#a inc#u+e 4# ho%t ,ue nece%ita %er protegido U%ted puede e%peci&icar un ho%t indi-idua# o un rango de ho%t% 4# ho%t ,ue nece%ita %er ingre%ado o prohibido %u entrada U%ted puede e%peci&icar un ho%t indi-idua# o un rango de ho%t% 4# per'odo de tiempo ,ue #a po#'tica %er/ ap#icada Una de%cripcin de# e-ento La% accione% a tomar en #a e-entua#idad de# e-ento3 ,ue inc#u+en Con&iguracin de# Fire!a## 4# :#o,ueo de Cone.ione% )CP Kecani%mo de Log% Noti&icacione% por 4>mai#3 Fa.3 o te#5&ono Lan0ar una ap#icacin para contrarre%tar e# ata,ue )rampa% para e# 1K)P Una ap#icacin ID1 demandar/ ,ue u%ted cree %u% propia% reg#a% + #uego #e a%ignar/ cierta% accione% a e%te" Au+(!" +, ), IDS 4# primer pa%o para poder auditar %u red e% poder identi&icar #o ,ue en e##a e% acti-idad norma#" 4%to e% ##amado e%tab#ecer #a #'nea ba%e" Para e&ectuar e%to + e%tab#ecer e%ta #'nea e7ecute %u ID1 durante #a% hora% pico" 4ntender e# tr/&ico de %u red e% #a 2nica manera para u%ted ad,uirir e# conocimiento %u&iciente para #uego u%ted poder identi&icar a# emp#eado ,ue e%ta intere%ado en e%piar u otra% acti-idade% de -io#acin de %eguridad" Otra http //!!!"codigo#ibre"org ;@A
Antonio Perpian
co%a a con%iderar e% e7ecutar#o durante #a% hora% de #a noche3 cuando #o% crac6er% ,ue -ienen de%de a&uera e%t/n m/% acti-o%" P,#(!(A,# 2"0#,# A# igua# ,ue un &ire!a##3 un ID1 re,uiere de con&iguracin e.hau%ti-a" De cua#,uier otra &orma u%ted recibir/ men%a7e% reportando noti&icacione% de ata,ue% &a#%o%" 4# t5rmino Po%iti-o% Fa#%o%3 %e re&iere a ta#e% noti&icacione%" Debe cuidar%e de ignorar todo% #o% po%iti-o% &a#%o%" Un ID1 puede ,ue detecte una acti-idad i#'cita aun,ue no %e ha de&inido una reg#a para detectar e%a acti-idad en e%pec'&ico" Un e7emp#o e% ,ue mucho% %i%tema% de ID1 #e a#ertaran de mucha% cone.ione% 1dN en re#acin con Net:u% + cierto 6it% de root de UNiX" U%ted tendr/ ,ue aprender cuando ignorar#o% + cuando poner#e atencin3 e%to %er/ una parte importante de %u de%arro##o como admini%trador de %i%tema% de %eguridad" PABUETES DE DETECION DE INTRUSOS 4.i%te tanto %o&t!are Pri-ati-o como GPL ,ue pro-ee %er-icio de deteccin de intru%o%" )ambi5n puede e#egir di&erente componente% + #ograr ,ue traba7en como un %#o" U%ted debe documentar%e + e#egir e# producto ,ue me7or ##ena %u% nece%idade%3 recuerde ,ue ning2n producto e% reemp#a0o para un admini%trador de %i%tema preparado + conocedor" Aun,ue e.i%ten %o#ucione% comercia#e% a,u' %#o ana#i0aremo% #a% de #icencia GPL o Free1o&t!are + m/% e%pec'&ico #a% %o#ucione% de%tinada% para GNU/Linu.3 e%ta% %on denominada% LID1" LIDS >S(#!e&" +e De!e))(* +e I !ru#,# +e GNU/L( u%? LID1 e% uno de #o% me7ore% m5todo% de a%egurar %u %i%tema GNU/Linu.3 haciendo ,ue #a% entrada% o cambio% de%autori0ada% %ean ca%i impo%ib#e" :Bu; e# LIDS1 La di%tribucin LID1 con%i%te de un parche de# 6erne# + un programa de admini%tracin" 4# parche e% agregado a# 6erne# + re%tringe acce%o a# %i%tema" Cuando LID1 e%t/ acti-ado3 ni root e%t/ por encima de e#" 1i un crac6er o atacante con%igue e# acce%o como root en un computador protegido por LID13 e# deber/ de%acti-ar#o ante% de poder acce%ar #o% archi-o% protegido%3 #o cua# no e% una tarea nada &/ci#" C"r")!er3#!()"# LID1 o&rece -aria% manera% de re%tringir acce%o a# %i%tema" Un u%uario puede e%tab#ecer ,ue archi-o% no %ean %obre%crito% o e#iminado% + puede permitir ,ue cierto% archi-o%3 como %on #o% #og%3 %#o %e #e pueda aadir" Proteger + ha%ta e%conder proce%o% e% po%ib#e con LID1" 4%te pro-ee un monitor de %eguridad e%t/ndar ,ue %e encuentra a #o interno de# 6erne# + puede de%atar a#arma% de po%ib#e e%caneado de puerto% + otro tipo de ata,ue% + anoma#'a%" I #!"0"r - C, '(gur"r LIDS 4# LID1 -iene en di-ido en do% un parche de# 6erne# (dependiendo de %u -er%in de# 6erne#3 e7" ;"@3 ;"H3 etc3""* + un programa norma# a ni-e# de u%uario" Primero debe a%egurar%e ,ue %u %i%tema e%te #ibre de todo tipo de in%eguridade% como %on bac6door%I LID1 puede a+udar#e a%egurar%e de a#guien e.terno a# %i%tema pero no de ,uien po%ee una manera a#ternati-a de entrar a %u %i%tema" Lo m/% acon%e7ab#e e% in%ta#ar#o en un %i%tema reci5n in%ta#ado" Adem/% debe a%egurar%e de tener un contro# comp#eto de %eguridad &'%ica %obre e# %i%tema" Un u%uario con acce%o &'%ico puede reiniciar de%de un di%,uete + anu#ar e# \erne#>LID1 + entonce% LID1 no podr/ proteger e# %i%tema"
;@B
Antonio Perpian
SNORT >De!e))(* +e I !ru#,#? 1nort e% un ID1 o 1i%tema de Deteccin de Intru%ione% ba%ado en red (NID1*" Imp#ementa un motor de deteccin de ata,ue% + barrido de puerto% ,ue permite regi%trar3 a#ertar + re%ponder ante cua#,uier anoma#'a pre-iamente de&inida como patrone% ,ue corre%ponden a ata,ue%3 barrido%3 intento% apro-echar a#guna -u#nerabi#idad3 an/#i%i% de protoco#o%3 etc conocido%" )odo e%to en tiempo rea#" 1nort (http //!!!"%nort"org/* e%t/ di%ponib#e ba7o #icencia GPL3 gratuito + &unciona ba7o p#ata&orma% UNIX/GNU" 4% uno de #o% m/% u%ado% + di%pone de una gran cantidad de &i#tro% o patrone% +a prede&inido%3 a%' como actua#i0acione% con%tante% ante ca%o% de ata,ue%3 barrido% o -u#nerabi#idade% ,ue -a+an %iendo detectada% a tra-5% de #o% di%tinto% bo#etine% de %eguridad" 4%te ID1 imp#ementa un #engua7e de creacin de reg#a% &#e.ib#e%3 potente + %enci##o" Durante %u in%ta#acin +a no% pro-ee de ciento% de &i#tro% o reg#a% para bac6door3 ddo%3 &inger3 &tp3 ata,ue% !eb3 CGI3 e%caneado% Nmap" Puede &uncionar como %ni&&er (podemo% -er en con%o#a + en tiempo rea# ,u5 ocurre en nue%tra red3 todo nue%tro tr/&ico*3 regi%tro de pa,uete% (permite guardar en un archi-o #o% #og% para %u po%terior an/#i%i%3 un an/#i%i% o&&#ine* o como un ID1 norma# (en e%te ca%o NID1*" La co#ocacin de 1nort en nue%tra red puede rea#i0ar%e %eg2n e# tr/&ico ,uieren -igi#ar pa,uete% ,ue entran3 pa,uete% %a#iente%3 dentro de# &ire!a##3 &uera de# &ire!a##""" + en rea#idad pr/cticamente donde ,ueramo%" Una caracter'%tica mu+ importante e imp#ementada de%de hace poca% -er%ione% e% F#e.8e%p" Permite3 dada una cone.in ,ue emita tr/&ico ma#icio%o3 dar#a de ba7a3 hacer#e un D8OP mediante e# en-'o de un pa,uete con e# &#ag 81) acti-a3 con #o cua# cump#ir'a &uncione% de &ire!a##3 cortando #a% cone.ione% ,ue cump#an cierta% reg#a% prede&inida%" No %#o corta #a cone.ione% +a ,ue puede rea#i0ar otra% mucha% accione%" Ahora un 47emp#o de &uncionamiento b/%ico en #o% tre% modo% $" U%ando 1nort en modo ID1 S ,r! $0 0,g $+eA $G 1\@I1LOIKI7/@K $) # ,r!I), ' (8e-i%emo% e# contenido de #a carpeta #og* ;" U%ando 1nort en modo %ni&&er S ,r! $+eA ?" U%ando 1nort en modo Pac6et Logger (regi%tro de pa,uete%* S ,r! $+eA $0 0,g (8e-i%emo% e# contenido de #a carpeta #og* EXPLICACIN DE LAS OPCIONES UTILIiADAS: $0 0,g: #o u%amo% para -o#car #a in&ormacin #a carpeta #og ,ue %e %upone e%t/ ubicada en /1nort/#og" 4n e%ta carpeta %e e%tructurar/n una %erie de directorio% con e# nombre de #a direccin IP de# ho%t ,ue genere e# tr/&ico o intru%in" )ambi5n crear/ en e%ta carpeta un archi-o (a#ert"id%* donde regi%trar/ #a% a#arma% ,ue genere a%' como un archi-o de regi%tro de e%caneado de puerto% (%i %e da e# ca%o*3 etc" $+eA: imprime en panta##a #a direccin IP + cabecera% )CP/UDP/ICKP3 #o% dato% ,ue pa%an por #a inter&ace de red con in&ormacin ba%tante deta##ada" $G 1\@I1LOIKI7/@K: e% e# home net!or6 (nue%tra red*" $) # ,r!I), ': indicamo% ,ue 1NO8) u%e e# archi-o de con&iguracin de 1nort con #a #i%ta de archi-o% de reg#a% + otro% par/metro%" 4%ta opcin tiene una -ariante a# cambiar%e e# archi-o %nort"con& por uno de reg#a% o ru#e% per%ona#i0ada" http //!!!"codigo#ibre"org ;@O
Antonio Perpian
1nort puede obtener #o% dato% de%de una inter&ace de red >i ethG o de%de un archi-o >r nombarchi-o" Norma#mente no har/ &ata indicar#e #a inter&ace de red" E5er)()(, O$1: S ,r! $ I #!"0")(* - U#, 4n e%te e7ercicio pondremo% a pr/ctica #a compi#acin3 in%ta#acin + e# u%o de 1nort3 un %o&t!are GPL para #a Deteccin de Intru%o% con m/% de $3GGG &i#tro% inc#uido%" No %e pro-een %o#ucione% a e%te e7ercicio" DISTRAER AL CRACNER Adema% de capturar una %imp#e acti-idad3 ha+ mucha% manera% de di%traer #o% crac6er%" Una ra0n para hacer#o e% mantener#o en #a red por mucho tiempo ha%ta ,ue u%ted #e% encuentre e# ra%tro" Por e7emp#o3 u%ted puede &i7ar una po#'tica de &ire!a## a%' #a direccin IP de origen direcciona a# crac6er a un &a#%o %i%tema" Kucha% rede% grande% han creado un %i%tema comp#eto dentro de %u red3 ##eno de in&ormacin para de%in&ormar + con e# prop%ito de preocupar + mantener ocupado a# crac6er" La creacin de archi-o% + cuenta% &icticia%3 trampa% + c/rce#e%3 %on una buena t5cnica a emp#ear para #a proteccin de %u% recur%o%" 4# u%o de e%ta t5cnica% no -a %in rie%go3 + mucha% compa'a% %imp#emente e#igen cortar #a cone.in" La% %iguiente% t5cnica% %er/n di%cutida% en e%ta %eccin Cuenta% Ficticia% Archi-o% Ficticio% Archi-o% de Contra%ea% Ficticio% )rip!ire + Chec6%um% Automati0ada% C/rce#e% (Nai#%* 9erramienta% (too#%* Cue !"# 2()!()("# Como hemo% -i%to +a en #a tra+ectoria de e%te #ibro3 #o% por de&ecto de# %i%tema %on #o% primero% ob7eti-o% de #o% crac6er%" Pero3 podemo% u%ar e%to tambi5n como primera arma de de&en%a en contra de e##o% tambi5n" Anteriormente di%cutimo% como podemo% renombrar un cuenta de u%uario para crear#e cierta% di&icu#tade% a un crac6er" Podemo% ahora irno% un pa%o m/% a##/ + crear cuenta% de# %i%tema + no a%ignar#e ning2n tipo de permi%o + a #a -e0 e%tab#ecer un %i%tema de auditor'a + a#arma% a%ociada% con e# %cript de #ogin para a#ertarno% cuando un intento de ingre%o %e e&ect2a con e%ta% cuenta%" Ar)G(A,# 2()!()("# La mi%ma ana#og'a de #a% cuenta% &icticia% podemo% u%ar + crear archi-o% &icticio%" 4%to% archi-o% pueden de%in&ormar a un potencia# crac6er o %imp#emente di%traer#o" 4ntra #a in&ormacin ,ue podemo% inc#uir pudiera %er un diagrama &a#%o de nue%tra %ubred + e,uipo% ,ue %e uti#i0an a #o interno de #a organi0acin" Por e7emp#o3 en una organi0acin &inanciera uno de #o% archi-o% atracti-o% puede %er ##amado nmina".#%3 #uego de co#ocar#o debemo% e%tab#ecer#e cierta% medida% adiciona#e% para pro-eer ma+or %eguridad" 9a e%te archi-o #e podemo% con&igurar un %i%tema de a#arma para cuando %ea acce%ado" Ar)G(A,# +e C, !r"#eH"# 2()!()(,# Una manera de u%ar una archi-o &icticio en creando un archi-o de contra%ea &a#%o" 4%te archi-o &a#%o puede %igni&icati-amente di%traer un crac6er" 4n e%te archi-o u%ted puede %up#ir cuenta% &a#%a% + %u% contra%ea%3 a%egur/ndo%e de ,ue #o% nombre% de cuenta% ,ue u%e %ean cre'b#e%" http //!!!"codigo#ibre"org ;JG
Antonio Perpian
Para poder -io#ar %i%tema% GNU/Linu.3 #o% crac6er% uti#i0an programa% como LCrac6M ,ue &uncionan creando una #arga #i%ta de contra%ea%3 #uego #a encriptan una por una" 4n #a mi%ma manera ,ue #o hace un %i%tema GNU/Linu." Crac6 #uego toma e%ta% contra%ea% encriptada + #a% compara con #a% de# archi-o etc/pa%%!d" 1i #a% igua#a3 entonce% e# programa #a ha Crac6eado" Pero %i e# archi-o ,ue u%o &ue e# &icticio3 e# acaba de de%perdiciar mucho tiempo" Para proteger%e contra e%to% ata,ue% %#o tiene ,ue habi#itar %hado! pa%%!ord% + %i de%ea m/% %eguridad entonce% tambi5n puede crear e# archi-o &icticio #o cua# crear'a -erdaderamente un a#to ni-e# de %eguridad" 4n #a actua#idad todo% #o% %i%tema% GNU/Linu. -iene con %hado! pa%%!ord% habi#itado por de&ecto" Ar)G(A,# +e C, !r"#eH"# 2()!()(,# 1o&t!are de dominio p2b#ico de%arro##ado por e# Departamento de In&orm/tica de #a Uni-er%idad de Purdue3 e% una herramienta ,ue comprueba #a integridad de #o% %i%tema% de archi-o% + a+uda a# admini%trador a monitorear 5%to% &rente a modi&icacione% no autori0ada%" 4%ta herramienta a-i%a a# admini%trador de cua#,uier cambio o a#teracin de archi-o% en #a m/,uina (inc#uido binario%*" 4# programa crea una ba%e de dato% con un identi&icador por cada archi-o ana#i0ado + puede comparar3 en cua#,uier momento3 e# actua# con e# regi%trado en #a ba%e de dato%3 a-i%ando ante cua#,uier a#teracin3 e#iminacin o inc#u%in de un nue-o archi-o en e# %i%tema de archi-o%" La ba%e dato% e%t/ compue%ta por una %erie de dato% como #a &echa de #a 2#tima modi&icacin3 propietario3 permi%o%3 etc" con todo e##o %e crea una &irma para cada archi-o en #a ba%e de dato%" 4%ta herramienta deber'a %er e7ecutada de%pu5% de #a in%ta#acin de #a m/,uina con e# ob7eto de tener una T&otoT de #o% %i%tema% de archi-o% en e%e momento + puede %er actua#i0ada cada -e0 ,ue aadimo% a#go nue-o" Di%pone de un archi-o de con&iguracin ,ue permite decidir ,u5 parte de# %i%tema de archi-o% -a a %er introducida en #a ba%e de dato% para %u po%terior comprobacin" E5er)()(, O$@: Tr(/M(re$ I #!"0")(* - U#, 4n e%te e7ercicio pondremo% a pr/ctica #a compi#acin3 in%ta#acin + e# u%o de )rip!ire3 un %o&t!are GPL ,ue crea una ba%e de dato% de todo% %u archi-o% para #uego comparar cua#,uier cambio" No %e pro-een %o#ucione% a e%te e7ercicio" CCr)e0e# >J"(0#? Una c/rce# e% un %i%tema comp#etamente %eparado ,ue u%ted puede crear para entretener a #o% crac6er%" Lo% 7ai#% com2nmente %up#en de in&ormacin errnea ,ue permite a #o% admini%tradore% tiempo e.tra para detectar + capturar a #o% crac6er%" 4# pe#igro de #o% 7ai#% e% ,ue e# crac6er tiene e# potencia# de romper #a c/rce# + entrar a# -erdadero + rea# %i%tema" 1u% po#'tica% de %eguridad deben %iempre permitir #a creacin de una c/rce#" Lo% admini%tradore% de %i%tema% deben entender #a% con%ecuencia% de #a creacin de e%to% %i%tema% para#e#o%" Una de #a% ra0one% para crear una c/rce# e% %i %u red e% de tamao grande" Un crac6er moti-ado pa%ar/ de cone.in a cone.in ante% de penetrar a #a %u+a" La% denominada% cuenta% %he## %on u%ada% para e%te prop%ito" Para poder #oca#i0ar #a direccin de# crac6er u%ted nece%itar/ e-idencia &'%ica + para #ograr e%to nece%ita mantener#o en #'nea" Lo% crac6er% pro&e%iona#e% u%an #o% %i%tema% %#o por in%tante% a #a -e03 aun,ue +a tengan e# contro# de# %i%tema comp#eto" 4%ta pr/ctica e% ,ue hace ,ue #a acti-idad de #o% crac6er% aparente intermitente + no amena0ante" 4# re%u#tado de todo e%to e% ,ue ca%i nunca no% damo% cuenta e%ta ,ue e# dao no ha+a %ido e&ectuado" http //!!!"codigo#ibre"org ;J$
Antonio Perpian
TOOLS >HERRAMIENTAS? 4n #a% pagina% de NKAP %e encuentra una impre%ionante #i%ta de #a% JG me7ore% herramienta% para detectar intru%o%" Creo ,ue e% un buen con%e7o para cua#,uiera en e# /mbito de #a %eguridad3 recomendar#e ,ue #ea #a #i%ta e in-e%tigue cua#,uier herramienta con #a cua# no e%t5 &ami#iari0ado" La #i%ta no %e #imit a %o&t!are% %#o GPL3 ni Open1ource %ino ,ue #o% participante% pod'an #i%tar herramienta% tambi5n comercia#e% para cua#,uier p#ata&orma " La% herramienta% comercia#e% %on di&erenciada% en e%ta #i%ta3 #a #i%ta puede %er encontrada a,u' ene e%te porta# http //!!!"in%ecure"org/too#%"htm# RESUMEN 4n e%te cap'tu#o &ue introducido a -ario% %er-icio% de red3 entre #o% tema% di%cutido% %e inc#u+en Lo ,ue m/% a+uda a un crac6er a penetrar a una red e% cuando #o% admini%tradore% pien%an ,ue por,ue in%ta#aron un %o&t!are e%t/n a %a#-o" 1eguridad proacti-a puede a+udar a un admini%trador a u%ar %cript% ,ue #e pueden a%i%tir a automati0ar programa% + re%pue%ta% a di&erente% %ituacione%" 4ntre #a% manera% de proteger %u% %i%tema% %e inc#u+en detectar + di%traer #o% potencia#e% crac6er%" 4# pa%o m/% importante en e# proce%o de re%pue%ta e% aprender de# incidente" Para me7or ana#i0ar %u re%pue%ta3 pregunte #a% %iguiente% pregunta% a todo% a,ue##o% in-o#ucrado% CCmo &ue ,ue e# crac6er -io# nue%tra %eguridadE CLe pag a un emp#eadoE CUti#i0o Ingenier'a %ocia#E CFuer0a brutaE CKodi&icacin de #a tab#a de enrutamientoE CA tra-5% de un &ire!a## inadecuadoE CCu/#e% &ueron #o% punto% &uerte% de nue%tra re%pue%taE CDu5 puede %er me7oradoE CDu5 debemo% hacer di&erente en e# &uturoE 8e%ponder a #o% incidente% e% tan importante como imp#ementar hard!are + %o#ucione% de %o&t!are" Deben mantener por e%crito toda acti-idad inu%ua#3 inc#u+endo %u re%pue%ta" A# meno% ,ue u%ted deta##e toda% #a% %o#ucione% apropiada% + #a% %iga a# pie% de #a #etra3 e# p/nico #e -encer/ + cae en #a po%ibi#idad de %er a2n m/% -ictimado por e# crac6er" Kantenga %u% bac6up% a# d'a para ,ue en ca%o de una -io#acin de %eguridad por un crac6er u%ted pueda re%taurar #o m/% pronto po%ib#e" A# auditar un ID13 u%ted debe primero re-i%ar ,ue tambi5n documentado e%t/ e# ID1 a%' como %i e# e%t/ bien imp#ementado" PREGUNTAS POST $ EXAMEN La% re%pue%ta% a e%ta% pregunta% e%t/n en e# Ap5ndice A $"> CDu5 tre% opcione% tiene di%ponib#e un admini%trador a# re%ponder a un a%unto de #a redE ;"> CCmo &unciona un %i%tema de deteccin de intru%o% (ID1* ba%ado en redE ?"> CCua#e% %on #o% bene&icio% de un ID1 ba%ado en #a redE @"> CDe%criba #a ar,uitectura de un ID1 ba%ado en ho%t%E J"> C4n ,u5 tipo de red e% ,ue un ID1 ba%ado en red no &uncionar'a bienE H"> CLi%te a#guno% recur%o% ,ue %on bueno% candidato% para #a co#ocacin de agente% en un ID1 ba%ado en redE
;J;

Libro Seguridad GNU Linux Antonio Perpinan 2011

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Libro Seguridad GNU Linux Antonio Perpinan 2011

Cargado por

Copyright:

Formatos disponibles

Antonio Perpian

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

ADMINISTRACION DEL SISTEMA GNU/LINUX

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

DESCRIPCION Y ESTANDARES DE SEGURIDAD

Pregu !"# Pre$E%"&e

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

La )tica en la Era de la In*ormaci+n

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Antonio Perpian pueden %er un con&#icto de intere%e%"

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

De!e))(* +e EAe !,# R"#!r, +e I !erAe )(* Re)u/er")(* +e 0" Segur(+"+

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Antonio Perpian Una inter&a0 Intuiti-a 4&ecti-o %oporte a# c#iente

Fundacin Cdigo Libre Dominicana

Antonio Perpian pro-e+endo punto% de acce%o a #o% crac6er%"

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

A#goritmo% de 4ncriptacin Proce%o de 4ncriptacin Ap#icado%

Pregu !"# Pre$E%"&e

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana

Antonio Perpian con%ideracione% permiten imp#ementar A41 de &orma mu+ e&ica0"

Fundacin Cdigo Libre Dominicana

Fundacin Cdigo Libre Dominicana