Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

SEGURIDAD INFORMATICA
Leonardo Sena Mayans
Julio 2000

Introduccin
Existen, en los tiempos que corren, dos elementos que incrementan la importancia de brindar una
adecuada seguridad a la informacin corporativa por parte de las empresas: la importancia
creciente de la informacin para las empresas y el aumento de los riesgos a la que la misma se ve
expuesta.
Las empresas pueden llegar a triunfar o a morir solamente por la informacin que manejan, lo que
ha llevado a que sta sea considerada un activo cada vez ms valioso, an cuando no podemos
llegar a cuantificarlo adecuadamente. Y es esto ltimo lo que impide que los datos se vean
reflejados en una lnea del balance, ya que cumplen todas las condiciones restantes de un activo
segn lo establecido por el marco conceptual.
As, debemos establecer controles eficientes de salvaguarda de activos - como lo hacemos para
los bienes tangibles - para los datos.
Por otro lado, las empresas se ven actuando en ambiente muchos ms abiertos que antes;
anteriormente los datos estaban administrados por un CPD centralizado, con escasa interaccin
an con los usuarios internos. Hoy da es generalizado un procesamiento descentralizado,
ambientes cliente-servidor e ingresos al sistema de usuarios que no pertenecen a la empresa
(clientes, proveedores, etc.).
Esta apertura, as como trae aparejado nuevas oportunidades de negocios, mayor eficiencia a las
operaciones y/o menores costos de transaccin, genera nuevos y ms complejos riesgos que se
deben mitigar, o por lo menos considerar.
Al decidir qu tipo de procedimientos de seguridad implantar sobre nuestros datos, el valor
creciente de la informacin y las nuevas tecnologas, impactan en la ecuacin costo-beneficio,
volvindola ms grande y compleja.
Tambin nuestra empresa maneja informacin de terceros, por lo tanto, no slo debe lograr
procesar la misma de una manera segura, para impedir perdida de imagen y/o acciones legales
en su contra, sino que la falta de seguridad o la apariencia de falta de seguridad puede actuar
como un impedimento para concretar negocios.
Segn la consultora KPMG, en el ao 1999, la seguridad era el principal inhibidor del comercio
electrnico en opinin del 78% de los responsables de e-commerce en Europa.
Intentaremos a continuacin brindar un desarrollo del concepto, implicancias y tcnicas de
seguridad actuales en el marco previsto de acuerdo a los objetivos de la materia.

Concepto de seguridad
La seguridad tiene tres objetivos principales:
Confidencialidad:
prevencin de divulgacin no autorizada de los datos
Integridad:
prevencin de modificaciones no autorizadas a los datos
Disponibilidad:
prevencin de interrupciones no autorizadas de los recursos informticos
Para alcanzar estos objetivos la empresa debe contar con procedimientos de seguridad de
informacin adecuados, formalmente definidos y ampliamente divulgados.
1

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Estos procedimientos, como vemos en la siguiente figura, contribuyen a fortalecer los controles y
de esa manera reducir de manera significativa el impacto generado por alguna de las amenazas
(valindose de las vulnerabilidades existentes).

Ataques Internos
-Fallas

Amenazas

-Sabotages

Soporte
-Desastres
Infraestructura

Informacin

Ataques Externos

Codigos/Aplicaciones

-Hackers

-Virus

-Clientes

-Caballos de Troja

Estadsticamente, la amenaza ms importante para nuestros datos, la encontramos dentro de la

empresa. Los accesos indebidos o no autorizados a informacin corporativa son realizados
principalmente por empleados de la misma.
A esto hay que sumarle los ataques de virus informticos ocasionados intencionalmente o por
ignorancia, por los propios empleados.
En sentido contrario transitan, en general las empresas de nuestro pas, preocupndose ms por
los agentes externos que por los internos. No es de olvidar que los ataques realizados por los
hackers o crackers son tapa de los diarios, lo que lleva a que la gente se sensibilice ms por este
tipo de delitos.
Lo importante es que la empresa realice un anlisis de riesgos formal, para poder identificarlos y
establecer su importancia. El resultado de este anlisis establecer si se est ms expuesto a
ataques internos o externos, o viceversa, o se debe considerar otro tipo de amenazas, y a partir de
all se podr desarrollar los procedimientos de seguridad con un foco preciso.
Los mecanismos bsicos de seguridad, sin importar que tecnologa es utilizada, son los siguientes:
! Autenticacin
! Autorizacin
! Administracin
! Auditora y registracin
! Mantenimiento de la integridad de los datos
Cualquiera de los cinco mecanismos son llevados a cabo por medio del uso de tcnicas de
seguridad, las cuales s van a depender de la tecnologa utilizada. A medida que las nuevas
tecnologas permiten el uso de herramientas (para soporte del negocio) ms complejas, es
necesario desarrollar nuevas tcnicas de seguridad que nos ayuden a controlar nuestros datos.

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Polticas de Seguridad
El objetivo de la Polticas de Seguridad de Informacin, es encima de todo, explicitar el
posicionamiento de la organizacin con relacin a la misma, adems de servir de base para
desarrollar los procedimientos de seguridad.
La empresa debe contar con un documento formalmente elaborado sobre el tema, el cual
obligatoriamente ser divulgado entre todos los funcionarios. No puede ser simplemente una carta
de intencin, as como no es necesario un alto grado de detalle. Las Polticas deben contener
claramente las practicas que sern adoptadas por la compaa.
Estas Polticas deben ser revisadas, y de ser necesario actualizadas, peridicamente.
Lo ms importante para que estas surtan efecto es lograr la concientizacin, entendimiento y
compromiso de todos los involucrados.
A manera de ejemplo, sin ser exhaustivo, las Polticas deben comprender:
! Definir qu es seguridad de la informacin, cuales son sus objetivos principales y su
importancia dentro de la empresa
! Mostrar el compromiso de la alta gerencia con la misma
! Filosofa respecto al acceso a los datos
! Percepcin y responsabilidades inherentes al tema
! Establecer la base para poder disear normas y procedimientos referidos a:
Organizacin de la seguridad
Clasificacin y control de los datos
Seguridad de las personas
Seguridad fsica y ambiental
Plan de contingencia
Prevencin y deteccin de virus
Administracin de los computadores
A partir de las Polticas podremos comenzar a desarrollar, primero las normas, y luego los
procedimientos de seguridad que sern la gua para la realizacin de las actividades.
En la siguiente figura se muestra una visin macro de cmo debe ser entendida la estructura de
polticas, normas y procedimientos de seguridad en las empresas.

Es
tra
t

Q ue?

gi
co

P olticas

T
ct

Q uien?

ic
o

D irectrices

O
pe
ra

C om o?

ci
al

on

N orm as y procedim ientos

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Clasificacin de los datos y del nivel riesgo

Como el grado de sensibilidad y criticidad de los datos es muy variable, el grado de seguridad
requerido no ser el mismo para todos.
No se va a asegurar de la misma manera la bases de datos donde se tienen los cdigos postales
(que probablemente tenga el mnimo nivel de seguridad) que como se har con las bases de datos
donde estn los datos filiatorios de los clientes. Es simplemente una decisin costo-beneficio
Por lo expuesto, se deben clasificar los datos, lo cual es similar a establecer su valor. Esta
clasificacin servir para incorporar niveles de seguridad adecuados para cada dato de la
clasificacin. La clasificacin debe hacerse sobre la base de un avalo individual del contenido de
las bases de datos, y de su importancia para el negocio, considerando las consecuencias de
prdida, divulgacin o acceso indebido.
Los usuarios, que no se debe olvidar son los dueos de los datos (aunque generalmente se le
cede la propiedad al personal de Informtica, quien solamente debe tener la administracin), son
los responsables de realizar esta tarea, dado que son ellos los que conocen los datos y lo que
pueden evaluar el impacto en el negocio.
El anlisis realizado, as como los resultados, deben formalizarse en un documento y debe ser
peridicamente revisado.
Como sugerencia de clasificacin, pueden utilizarse los siguientes rtulos o niveles:
! Confidencial (informacin estratgica o de sigilo absoluto)
! Uso restringido (uso para grupos restringidos de las gerencias y/o jefaturas de rea)
! Uso interno (Funcionarios)
! Uso pblico (clientes, proveedores, otros)
La sensibilidad de la informacin debe ser analizada a partir de las siguientes perspectivas (los
objetivos de la seguridad):
Grado de confidencialidad, determinado por el dao o perdida sufrido por la empresa ante un
acceso no autorizado
Grado de sensibilidad respecto a la integridad, determinado por el dao o prdida sufrido ante
la inexactitud de la informacin
Grado de sensibilidad a la disponibilidad, determinado por el dao o prdida sufrida frente a la
no-disponibilidad de los datos cuando estos son requeridos.
Complementariamente al nivel de criticidad de los datos, se debe precisar el nivel de riesgo al que
estn expuestos. Se definen niveles de riesgo de acuerdo a la probabilidad de que se materialice
una amenaza y al grado de impacto producido, en caso que lo anterior acontezca.
Las amenazas son acciones que ponen en peligro la integridad, disponibilidad y confidencialidad
de los datos, como ser errores, accesos indebidos, desastres naturales, etc.
El impacto es el resultado para la empresa del acaecimiento de la amenaza, estos resultados
pueden ser de prdidas financieras, prdida de imagen, costo de oportunidad, etc.
Los riesgos dependern de las plataformas (Windows NT, Unix, etc.) y tipo de equipamiento (PC,
AS/400, etc.) en donde se mantienen los datos, y del intercambio de la misma desde o hacia
terceros (va Internet, va lnea discada, etc.).
Si la empresa mantiene, por ejemplo, todos sus datos bajo una aplicacin para Windows NT en
una red de PCs tendr un nivel de riesgo nico para la totalidad de los datos. En cambio si se
utilizan dos aplicaciones, una bajo Windows NT y otra bajo Unix, los riesgos sern distintos para
unos y otros datos. A su vez, si a la primera situacin le sumamos que se reciben rdenes de
compra va Internet, el nivel de riesgo al que se expone toda la informacin es mayor que el
establecido en primera instancia. Estos slo han sido casos ficticios, a modo de ejemplo.
En conclusin, para establecer procedimientos de seguridad adecuados (desde el punto de vista
costo-beneficio) para cada grupo de datos, es necesario realizar una clasificacin de los datos y
un anlisis de riesgo, con el fin de determinar prioridades y realizar de esa manera una
administracin ms eficiente de los recursos de la empresa.

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Seguridad fsica, ambiental y lgica

Si bien cuando se habla de proteger informacin se piensa inmediatamente en controles para el
acceso lgico a la misma, debe existir una primera barrera que muchas veces es olvidada o subvalorada. Esta barrera est compuesta por los procedimientos de seguridad fsica y ambiental.
Nos referimos a seguridad fsica como los procedimientos existentes para controlar el acceso
fsico al equipamiento informtico. Como ejemplo: cmaras de vdeo en la sala del CPD y puertas
de acceso al CPD con cerraduras electrnica activadas por tarjetas
Nos referimos a seguridad ambiental como los procedimientos existentes para controlar que
efectos ambientales perjudiquen el procesamiento, los equipamientos y el personal. Ejemplos: el
CPD cuenta con un sistema de supresin de incendios adecuado y el equipamiento central cuenta
con protectores de pico de tensin elctrica.
Nos referimos a seguridad lgica como los procedimientos existentes para controlar el acceso
lgico no autorizado al informacin, ya sea que se realice mientras esta se encuentra almacenada
o durante la transmisin.

Mecanismos bsicos de seguridad

a) Autenticacin
Autenticacin es la verificacin de la identidad del usuario, generalmente cuando ingresamos al
sistema o a la red (log-on), o accedemos a una base de datos.
Cuando presentamos nuestra cdula de identidad a las autoridades o a cualquier otra persona que
lo requiera, nos estamos autenticando. Aqu se utiliza el mismo concepto pero con tcnicas
distintas, inclusive mucho ms exactas que la anterior.
Tpicamente para ingresar a un sistema se utiliza una contrasea, sin embargo cada vez ms se
estn utilizando otras tcnicas que otorgan mayores beneficios desde el punto de vista de la
seguridad. Es posible autenticarse, bsicamente, de tres maneras:
! Por lo que uno sabe (una contrasea)
! Por lo que uno tiene (una tarjeta magntica)
! Por lo que uno es (las huellas digitales)
La utilizacin de ms de un mtodo a la vez aumenta la seguridad de que la autenticacin sea
correcta. An cuando la utilizacin conjunta es cada vez ms utilizada por las empresas, la
decisin adoptada debe ir de la mano con el valor de la informacin a proteger.
Diariamente se desarrollan nuevas, ms exactas y ms baratas tcnicas de autenticacin,
impulsadas por el desarrollo tecnolgico en general y por la creciente necesidad de seguridad de
la informacin.
En primera instancia, dado que es la tcnica ms utilizada y no siempre de manera adecuada, nos
referiremos a la autenticacin mediante contraseas.
La fortaleza del mtodo est determinada por las caractersticas de la contrasea. Cuanto ms
grande y difcil de adivinar esta sea, ms difcil ser de burlar el mecanismo. A su vez la
contrasea debe ser confidencial, y esto es muy importante. No puede ser conocida por nadie
ms que el usuario. Muchas veces sucede que los usuarios se prestan las contraseas o se
apuntan las mismas en un papelito pegado en el escritorio fcilmente legible por cualquier otro
empleado, comprometiendo a la empresa y a nosotros mismos, dado que toda accin que se
realice con esa contrasea es responsabilidad nuestra.
Para lograr que la contrasea sea difcil de adivinar, esta debe tender lo ms posible a un
conjunto de caracteres (con minsculas, maysculas y nmeros) inteligible. Lo que sucede es que
los usuarios difcilmente recuerdan contraseas tan elaboradas y utilizan palabras previsibles (el
nombre, el apellido, el nombre de usuario, el mes en curso, el nombre de la esposa, el nombre del
cuadro de ftbol), que facilitan la tarea de quin desea ingresar al sistema de forma no autorizada.
Como medida complementaria se debe obligar al cambio de contrasea de manera peridica (30
45 das), impidiendo el uso de contraseas utilizadas en el pasado.
Veamos ahora dos de las nuevas tcnicas ms utilizadas hoy da.
5

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Security tokens (o ID card)

La autenticacin es realizada a travs de una contrasea que cuenta con dos componentes, uno
fijo (un PIN de usuarios) y otro variable. El componente variable es generado por el security token
(que no es otra cosa que una pequea tarjeta con un display) , el cual genera una nueva
contrasea cada 60 segundos. Estas contraseas son generadas en sincronismo con el servidor
(de otra manera no es posible verificar la contrasea) , y por medio de funciones matemticas
alimentadas por la hora.
En resumen, a cada usuario se le asigna un PIN y se le entrega un security token. Luego, cada
vez que intente ingresar al sistema deber digitar su PIN y la contrasea generada por su token.
El dinamismo en el cambio de contraseas, as como el largo de las mismas (al ser otorgadas por
el token evita que el usuario deba recordar contraseas grandes, lo cual generalmente no puede
hacer), robustecen la seguridad de este mecanismo.

Reconocimiento biomtrico
Las tcnicas biomtricas presentan procesos de verificacin de la identidad basados en
caractersticas fsicas (cara, huellas digitales) o de comportamiento (registro vocal, firma a mano
alzada). Primero estas caractersticas (como ser el registro vocal) son capturadas e ingresadas al
sistema, asociadas a cada usuario respectivo. Luego, en el momento de la verificacin, la
autenticacin se produce por la comparacin del patrn almacenado y el registro realizado por el
usuario que requiere el acceso.
Esta tcnica ha evolucionado mucho, llegando a ser muy exactas, y a precios razonables (por
ejemplo un lector de huellas digitales oscila en el mercado entre los U$S150 y U$S200).
La siguiente tabla detalla las tcnicas utilizadas y sus respectivas ventajas y desventajas.
TCNICA

VENTAJAS

DESVENTAJAS

Reconocimiento de cara

Fcil, rpido y barato

La iluminacin puede alterar la

autenticacin

Lectura de huella digital

Barato y muy seguro

Posibilidad de burla por medio

de rplicas, cortes o
lastimaduras pueden alterar la
autenticacin

Lectura de iris/retina

Muy seguro

Intrusivo (molesto para el

usuario)

Lectura de la palma de la
mano

Poca necesidad de memoria

de almacenamiento de los
patrones

Lento y no muy seguro

Reconocimiento de la firma

Barato

Puede ser alterado por el

estado emocional de la
persona

Reconocimiento de la voz

Barato, til para accesos

remotos

Lento, puede ser alterado por

el estado emocional de la
persona, fcilmente
reproducible

b) Autorizacin
Autorizacin es el proceso de determinar qu, cmo y cundo, un usuario autenticado puede
utilizar los recursos de la empresa. El mecanismo o el grado de autorizacin puede variar
dependiendo de que sea lo que se este protegiendo. Cuando vimos clasificacin de los datos
establecimos distintos niveles para los mismos, as puede determinarse que para acceder a los
datos de cada nivel debe contarse con autorizacin de cierto nivel jerrquico.

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Las autorizaciones pueden hacerse efectivas por medio de una firma en un formulario o por medio
del ingreso de una contrasea especfica en el sistema, s es importante que quede registrada
para ser controlada posteriormente.
Al nivel de datos, las autorizaciones son instrumentadas de manera de asegurar la
confidencialidad e integridad, as sea otorgando o denegando el acceso a la posibilidad de leer,
modificar, crear o borrar los mismos.
La autorizacin debe ser otorgada siempre de acuerdo a la necesidad de saber, o sea el acceso a
cierto recurso se le otorgar al usuario si es indispensable para la realizacin de su trabajo, y si no
se le negar. Es posible otorgar autorizaciones transitorias o modificar las anteriormente
otorgadas a medida que las necesidades de ese usuario varen.

c) Administracin
La administracin incluye los procesos de definir, mantener y eliminar las autorizaciones de los
usuarios del sistema, los recursos del sistema y las relaciones usuarios-recursos del sistema.
Los administradores son responsables de transformar las polticas de la organizacin y las
autorizaciones otorgadas a un formato que pueda ser usado por el sistema. Esta administracin de
la seguridad es un esfuerzo constante porque los negocios se encuentran en permanente cambio
dentro de la empresa, lo que repercute en sus sistemas y usuarios.
Cada uno de los sistemas operativos de redes conocidos (Windows NT, Novell) cuenta con un
mdulo de administracin de seguridad, pero igualmente existe software especfico para realizar
esta tarea.

d) Auditora y registracin
Llamamos auditora al proceso de recolectar informacin y analizarla, que permite a los
administradores u otros especialistas verificar que las tcnicas de autenticacin y autorizacin
empleadas se realizan segn lo establecido y se cumplen los objetivos fijados por la empresa.
Registrar es el mecanismo por el cual cualquier intento de violar las reglas de seguridad
establecidas queda asentado en una base de eventos que permite su posterior anlisis.
Monitorear la informacin registrada o auditar, se puede realizar mediante medios manuales o
automticos, y con una periodicidad acorde a la criticidad de la informacin protegida y al nivel de
riesgo. Es evidente que el hecho de registrar los eventos, por s solo, no brinda ninguna utilidad.
Los registros pueden ser usados por ms de una persona, para realizar chequeos de rutina o para
constatar hechos individuales, entre los que podemos citar administradores, auditores internos y
externos, consultores y gobierno.

e) Mantenimiento de la Integridad
Mantener la informacin ntegra refiere a los procedimientos establecidos para evitar o controlar
que los archivos permanezcan sin sufrir cambios no autorizados y que la informacin enviada
desde un punto llegue a destino inalterada. El mantenimiento de la integridad tambin involucra la
prevencin de cambios accidentales, lo cual generalmente se maneja por medio de cdigos de
manejo de errores.
Dentro de las tcnicas ms utilizadas para mantener (o controlar) la integridad de los datos,
podemos citar: uso de antivirus, encriptacin y funciones hash. La primera ya es muy conocida,
por lo tanto no ampliaremos el concepto. S lo haremos con las otras dos tcnicas, lo cual una vez
entendidas, nos permitir explicar el concepto de firma digital.

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Encriptacin
La criptografa es una ciencia que brinda distintas tcnicas capaces de transformar datos legibles
en datos no legibles, y viceversa, por medio de funciones matemticas (algoritmos).
El objetivo de convertir datos legibles en inteligibles, es prevenir ante la posibilidad que una
persona no autorizada acceda a los mismo, no sea capaz de entender su significado.
Estos algoritmos transforman texto plano en
un cdigo equivalente
(llamado texto cifrado),
para transmisiones o
almacenamiento
de
datos, utilizando una
clave. Luego, este
texto cifrado puede ser
transformado a texto
plano otra vez aplicando el mismo algoritmo y una clave.
Existen dos tipos de
encriptacin: los simtricos
(utilizan
la
misma clave para encriptar y para desencriptar) y los asimtricos (los cuales utilizan
dos claves distintas).
La robustez (capacidad de no ser burlado) del mtodo se establece por el algoritmo utilizado y por
el largo de la clave. En general, se dice que cuanto ms grande la clave ms seguro ser. Esto es
un error porque se depende del algoritmo utilizado, existen algoritmo que son ms seguros cuanto
ms chica es la clave.
Por ms que se utilizan funciones aritmtica muy complejas, el avance de la tecnologa ha permitido que sea ms fcil poder romper los cdigos cifrados (o sea interpretar el mensaje original).
Para lograr este fin, los hackers utilizan dos tcnicas: ataque por diccionario o por fuerza bruta. En
el primero se utiliza un mtodo deductivo, tratando de encontrar patrones sobre la base de
palabras en cualquier idioma, mientras que en el segundo simplemente se prueban distintas
combinaciones de caracteres hasta encontrar lo deseado.
Para terminar hablaremos de los algoritmos de clave pblica (sistema de criptografa asimtrico).
El mismo se basa en dos claves: una pblica y una privada, la pblica es conocida y se utiliza para
encriptar los mensajes y la privada es solamente conocida por el usuario que la utiliza para
desencriptarlo. Este mecanismo evita la administracin de un gran nmero de claves secretas
necesaria para los algoritmos simtricos, pero requiere un proceso para asegurar que las claves
pblicas son autnticas y pertenecen al usuario correspondiente. As, nacen las compaas
certificadoras, las cuales se encargan de certificar que una clave pertenece a tal o cual usuario y
de distribuir las mismas.

Funciones hash
Una funcin hash es una funcin matemtica compleja unidireccional que aplicada a un conjunto
de caracteres de cualquier longitud obtiene un pequeo resultado, de largo fijo, y cualquier cambio
al conjunto de caracteres origen, producir un cambio en el resultado. Se estima que para lograr
otro conjunto de caracteres distinto del anterior, que genere el mismo resultado, se requiere ms
esfuerzo que el que es capaz cualquier persona o computadora. Mediante estas funciones puedo
controlar que mi informacin no haya sido alterada, por error o intencionalmente, durante una
transmisin o durante el perodo que permaneci almacenada. Simplemente debo calcular el
resultado de la funcin hash en el momento cero, y compararlo con el resultante de aplicar la
misma funcin en otro momento, para asegurarme que la informacin se mantiene ntegra.
8

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Firma Digital
Hemos dejado para el final el tema de firmas digitales a propsito, debido a varios motivos. Entre
ellos estn:
- el hecho de entender los conceptos anteriormente vertido facilitar la comprensin de este
concepto.
- est tcnica es utilizada tanto para autenticacin como para el mantenimiento de la integridad
y la auditora (sin olvidar que puede avalar la asignacin de determinada autorizacin)
- el auge de la tcnica a nivel mundial y local (en la actual ley de urgencia se acaba de
incorporar una ley al respecto).
A continuacin se explica cmo funciona la firma digital.

Paso 1:
Bob quiere mandar un mensaje firmado a Alice. Lo primero que debe hacer es escribir el mensaje,
y luego procede a firmarlo.
El proceso de firmar incluye dos pasos:
- se calcula el resultado de aplicar una funcin hash al mensaje, lo cual se llamar digest
- el digest se encripta con la clave privada de Bob, y se adjunta al mensaje original.
El resultado del proceso es el mensaje ms la firma.

Paso 2
El mensaje ms la firma se encriptan para ser enviados.
La encriptacin puede ser realizado de dos maneras:
-

con una clave de una nica vez, si se usa un algoritmo simtrico (esta clave debe ser
comunicada al receptor por otra va para poder desencriptarlo)

con la clave pblica de destinatario, si se utiliza un algoritmo asimtrico.

Al resultado de esta operacin simplemente resta enviarlo al destinatario.

9

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Paso 3
Alice recibe el mensaje de Bob
Dependiendo de cmo se encript proceder a:
- desencriptarlo con la clave de nica vez
- desencriptarlo con la clave privada de Alice.
El resultado obtenido es el mensaje y la firma digital.

10

Introduccin a la Computacin

Computacin aplicada a Contabilidad, Administracin y Economa

Seguridad

Informtica

Paso 4
Resta verificar que realmente el mensaje fue firmado por Bob.
Para esto debemos:
- desencriptar la firma con la clave pblica de Bob, obteniendo el digest
- calcularle al mensaje recibido (mediante la misma funcin hash que utiliz Bob) el digest
Una vez terminadas las acciones anteriores, simplemente compararemos los resultado obtenidos y
de esa manera, en caso de ser iguales, verificaremos la identidad del emisor.

Para terminar y a manera de resumen diremos que las firmas digitales desarrolladas de la manera
que hemos visto proveen la misma seguridad que las firmas sobre papel tradicionales:

Autenticacin: la garanta de que un mensaje proviene de la persona que dice haberlo enviado.
Integridad: la prueba de que los contenidos de un mensaje no han sido alterados, deliberada o
accidentalmente, durante la transmisin.
No-Repudio: la certeza de saber que el remitente del mensaje no puede ms tarde negar
haberlo enviado.
Confidencialidad: la evidencia de que el contenido del mensaje no ha sido revelado a terceras
partes.

11