SEGURIDAD Y CRIPTOGRAFA

Por: Ing. Geovanny Meza Octubre 2012

SEGURIDAD
Definiciones
Proviene del latn securtas que se refiere a la cualidad de seguro, es decir aquello que est exento de peligro, dao o riesgo. Algo seguro es algo cierto, firme e indubitable. La seguridad, por lo tanto, es una certeza. Ausencia de Riesgos. Condicin de estar libre de peligro, dao, prdida o falla.

TIPOS DE SEGURIDAD
Civil y militar Privada y colectiva Institucional y empresarial
Fsica Lgica De desarrollo y aplicaciones De cifrado De comunicaciones y redes
SEGURIDAD TICS

TIPOS DE SEGURIDAD
Fsica
Tiene que ver con la proteccin del sistema ante las amenazas fsicas, incendios, inundaciones, edificios, cables, control de accesos de personas, etc. Medidas de proteccin civil y respaldo electrnico de documentos.

Lgica
Aplicacin de barreras y procedimientos que resguarden el acceso a los datos y slo se permita acceder a ellos a las personas autorizadas para hacerlo. Proteccin de la informacin en su propio medio, mediante el enmascaramiento de la misma usando tcnicas de criptografa.

TIPOS DE SEGURIDAD
De desarrollo y aplicaciones
Aquello que tenemos que tener en cuenta en las etapas de diseo y codificacin de los programas

De Cifrado
La que tiene que ver con la codificacin y decodificin de informacin, es decir, la que tiene que ver con el intercambio de claves entre el emisor y el receptor ya que ambos deben usar la misma clave

TIPOS DE SEGURIDAD
De comunicaciones y Redes
Tiene que ver con la seguridad en las infraestructuras de redes y comunicaciones de una organizacin. Tiene en cuenta las tecnologas implicadas, el aseguramiento de los medios de transporte de la informacin involucrados, as como los protocolos de comunicaciones utilizados en los mismos; todo ello con el uso de las tecnologas disponibles en la industria. Se analizan las tecnologas de certificacin digital, redes privadas virtuales, tcnicas de deteccin de vulnerabilidades, mecanismos de ataques a sistemas en red, sistemas de proteccin de redes mediante cortafuegos, sistemas de deteccin de intrusos as como la realizacin de auditoras de seguridad y anlisis forense informtico.

NIVELES DE SEGURIDAD
Bsico
Mnimos aspectos a considerarse para garantizar la seguridad

Medio
Aspectos de seguridad que dan un mayor nivel de confianza

Alto
Consideraciones que garantizan estndares de seguridad y calidad.

CONSIDERACIONES GENERALES
Para incrementar los niveles de seguridad es necesario:
Minimizar los riesgos Elaborar planes de mitigacin Elaborar planes de contingencia

Tener presente que: LA SEGURIDAD NO ES UN PRODUCTO,

ES UN PROCESO

PLAN DE CONTINGENCIA
Definicin
Conjunto de procedimientos alternativos a la operativa normal de cada empresa, cuya finalidad es la de permitir el funcionamiento de sta, an cuando alguna de sus funciones deje de hacerlo por culpa de algn incidente tanto interno como externo a la organizacin.

Importante:
Preparar un plan de contingencia no implica un reconocimiento de la ineficiencia en la gestin de la empresa, sino todo lo contrario, supone un importante avance a la hora de superar todas aquellas situaciones que pueden provocar importantes prdidas, no solo materiales sino aquellas derivadas de la paralizacin del negocio durante un perodo ms o menos largo.

PLAN DE CONTINGENCIA
Para qu sirve un plan de contingencia?
Actualmente, la mayora de las empresas necesitan un nivel alto de disponibilidad y algunas requieren incluso un nivel continuo de disponibilidad. En caso de un desastre, la interrupcin prolongada de los servicios puede llevar a prdidas financieras significativas. Lo ms grave es que se puede perder la credibilidad del pblico o los clientes y, como consecuencia, la empresa puede terminar en un fracaso total. Por lo tanto, un plan de contingencia sirve para recuperarse exitosamente de los efectos de un desastre dentro de un periodo predeterminado de tiempo.

PLAN DE CONTINGENCIA
Qu es un desastre? Es la interrupcin prolongada de los recursos de una organizacin que no puede remediarse dentro de un periodo de tiempo predeterminado aceptable, y que necesita el uso de un sitio o equipo alterno para su recuperacin. Ejemplos son los grandes incendios, las inundaciones, los terremotos, las explosiones, los actos de sabotaje, etctera. La alta gerencia tiene que decidir el periodo de tiempo predeterminado que lleva una interrupcin de servicio de la situacin de "problema" a la de "desastre". La mayora de las logran esto llevando a cabo un anlisis de impacto en el negocio para determinar el mximo tiempo de interrupcin permisible en funciones vitales de sus actividades.

PLAN DE CONTINGENCIA
Estadsticas de desastres
Terrorismo Incendios Huracanes y Tornados Terremotos Interrupcin suministro energa Errores en software Inundacin Errores en hardware Interrupcin servicio de red Rotura tuberas Otros 17,5 % 17,5% 14,0% 10,5% 9,5% 8,8% 7,0% 5,3% 3,5% 3,5% 2,9%

PLAN DE CONTINGENCIA
Aspectos a considerar
Debe ser diseada y elaborada de acuerdo con las necesidades de la empresa. Puede requerir la construccin o adaptacin de un sitio para los equipos computacionales. Requerir del desarrollo y prueba de muchos procedimientos nuevos, y stos deben ser compatibles con las operaciones existentes. Se har participar a personal de muchos departamentos diferentes, el cual debe trabajar en conjunto cuando se desarrolle e implemente la solucin. Implicar un compromiso entre costo, velocidad de recuperacin, medida de la recuperacin y alcance de los desastres cubiertos.

PLAN DE CONTINGENCIA
Actividades
Identificacin de riesgos Evaluacin de riesgos Asignacin de prioridades a las aplicaciones Establecimiento de los requerimientos recuperacin Elaboracin de la documentacin Verificacin e implementacin del plan Distribucin y mantenimiento del plan

de

PLAN DE CONTINGENCIA
Contenido del Plan
Entre otros aspectos, el plan debe contener:
Listas de notificacin, nmeros de telfono, mapas y direcciones Prioridades, responsabilidades, relaciones y procedimientos Informacin sobre adquisiciones y compras Diagramas de las instalaciones Sistemas, configuraciones y copias de seguridad en cinta

CRIPTOGRAFA
DEFINICIONES
Proviene de las palabras griegas Krypto y Logos, y significa estudio de lo oculto. Una rama de la criptologa es la criptografa (Kryptos y Graphos que significa descripcin), que se ocupa del cifrado de mensajes. Rama inicial de las Matemticas y en la actualidad de la Informtica y la Telemtica, que hace uso de mtodos y tcnicas con el objeto principal de cifrar y/o proteger un mensaje o archivo por medio de un algoritmo, usando una o ms claves. Esto da lugar a diferentes tipos de sistemas de cifra que permiten asegurar estos cuatro aspectos de la seguridad informtica: la confidencialidad, la integridad, la disponibilidad y el no repudio de emisor y receptor

CRIPTOGRAFA

CRIPTOGRAFA

CRIPTOGRAFA

CRIPTOGRAFA
Qu hace?
Se ocupa del cifrado de mensajes. Esto se basa en que el emisor emite un mensaje en claro, que es tratado mediante un cifrador con la ayuda de una clave, para crear un texto cifrado. Este texto cifrado, por medio de un canal de comunicacin establecido, llega al descifrador que apoyndose en diversos mtodos, extrae el texto original.

CRIPTOGRAFA
Esquematizacin
Medio de Transmisor Transmisor Transmisin C MT C Receptor M

Cifrador Cifrador

Mensaje cifrado

Descifrador

CRIPTOGRAFA CLSICA
Mtodos, tcnicas y artilugios utilizados por emperadores, gobernantes, militares y en general por diversas civilizaciones para mantener sus secretos a buen recaudo. Ejemplos: La Escitala El cifrador de Polybios Rellenos de una sla vez Sustitucin Transposicin El cifrador del Csar El cifrador de Alberti

CRIPTOGRAFA MODERNA
Se basa en las mismas ideas bsicas que la criptografa tradicional, la transposicin y la sustitucin, pero con distinta orientacin. En la criptografa moderna el objetivo es hacer algoritmos de cifrado complicados y rebuscados. Ejemplos: DES IDEA RSA DSA AES

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA
La criptografa moderna clasifica los diversos algoritmos segn el tratamiento que se le quiera dar el mensaje a transmitir y segn el tipo de clave. Segn el tipo de clave:
Simtricos (Clave privada o secreta) Asimtricos (Clave pblica)

Segn el tratamiento del mensaje

Cifrado en bloque Cifrado en flujo

NOTA: Tanto los algoritmos simtricos como asimtricos pueden se cifrados en bloque.

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA

CRIPTOGRAFA MODERNA
Algoritmo de Curva Elptica
Se escoge un nmero entero aleatorio k como clave privada, y puede asignarse el valor P = k*G se da a conocer como clave pblica, donde G es un punto especfico y publicado para utilizar con la curva. (Ejemplo: y2 = x3 + x + 6) Si el emisor y receptor tienen las claves privadas kA y kB, y las claves pblicas PA y PB, entonces el emisor podra calcular kA*PB = (kA*kB)*G; y el receptor puede obtener el mismo valor dado que kB*PA = (kB*kA)*G. Esto permite establecer un valor "secreto" que el emisor y el receptor pueden calcular fcilmente, pero que es muy complicado de derivar para una tercera persona. Adems, el receptor no consigue averiguar nada nuevo sobre kA durante sta transaccin, de forma que la clave del emisor sigue siendo privada.

CRIPTOGRAFA MODERNA
El control de integridad
En la criptografa de clave pblica se hace tambin un control de la integridad, es decir, asegurarnos de que el mensaje recibido fue el enviado por la otra parte y no uno manipulado, para ello se usan funciones de dispersin unidireccional (o hash).

El no repudio
El no repudio consiste en que el receptor puede saber a ciencia cierta de quien es el mensaje y esto lo podemos conseguir mediante la firma digital, al ser esta nica, como si fuera una firma normal en un papel, tenemos como un acuse o un recibo, que demuestra quin ha enviado el mensaje.

CRIPTOGRAFA MODERNA
Firma digital
Es un esquema matemtico que sirve para demostrar la autenticidad de un mensaje digital o de un documento electrnico. Una firma digital da al destinatario seguridad en que el mensaje fue creado por el remitente, y que no fue alterado durante la transmisin. Las firmas digitales se utilizan comnmente para la distribucin de software, transacciones financieras y en otras reas donde es importante detectar la falsificacin y la manipulacin.

CRIPTOGRAFA MODERNA
Requisitos de la firma digital
a. Debe ser fcil de generar. b. Ser irrevocable, no rechazable por su propietario. c. Ser nica, slo posible de generar por su propietario. d. Ser fcil de autenticar o reconocer por su propietario y los usuarios receptores. e. Debe depender del mensaje y del autor

CRIPTOGRAFA MODERNA
Ventajas de la firma digital
La principal ventaja de la firma digital en comparacin de la firma autgrafa, es que el procedimiento de verificacin es exacto y que es imposible en la prctica su falsificacin. Otra ventaja de la firma digital es su portabilidad, es decir, la firma digital puede ser realizada en diferentes puntos del mundo, de forma simultnea y sin necesidad de testigos.

CRIPTOGRAFA MODERNA
Desventajas de la firma digital
La ms notable desventaja actual de la firma digital en contra de la firma autgrafa, es que la primera no es valida legalmente aun en muchos pases. Parece ser que esto obedece a una transicin natural de esta nueva tecnologa, que por lo tanto existe un rechazo en su aceptacin a pesar de los grandes beneficios que proporciona. Otra desventaja visible de la firma digital, es que su seguridad depende de la clave privada, es decir, que si la clave privada se compromete por alguna causa, entonces, se compromete la seguridad de la firma digital, esto quiere decir que puede ser usada por individuos y eventos no autorizados.

PROTOCOLOS DE SEGURIDAD
Un protocolo de seguridad define las reglas que gobiernan las comunicaciones, diseadas para que el sistema pueda soportar ataques de carcter malicioso. Protegerse contra todos los ataques posibles es generalmente muy costoso, por lo cual los protocolos son diseados bajo ciertas premisas con respecto a los riesgos a los cuales el sistema est expuesto. La evaluacin de un protocolo por lo tanto envuelve dos preguntas bsicas: Es el modelo de riesgo realista? El protocolo puede controlar ese nivel de riesgo? Entre los protocolos ms conocidos tenemos: SSL, SET, OPEN PGP y DSS

PROTOCOLO SSL
SSL (Secure Socket Layer)
Fue propuesto por Netscape Communications Corporation. El protocolo SSL es un sistema de seguridad desarrollado y utilizado actualmente por la mayora de empresas que comercian a travs de Internet. Es un sistema de seguridad ideado para acceder a un servidor garantizando la confidencialidad de los datos mediante tcnicas de encriptacin modernas. Proporciona cifrado de datos, autenticacin de servidores, integridad de mensajes y, opcionalmente, autenticacin de cliente para conexiones TCP/IP.

PROTOCOLO SSL
SSL aporta las siguientes caractersticas: Confidencialidad
Mediante el uso de la Encriptacin se garantiza que los datos enviados y recibidos no podrn ser interpretados ninguna otra persona que no sea ni el emisor ni el receptor.

Integridad
Se garantiza que los datos recibidos son exactamente iguales a los datos enviados, pero no se impide que al receptor la posibilidad de modificar estos datos una vez recibidos.

Autentificacin
El vendedor se autentifica utilizando un Certificado Digital emitido por una empresa llamada Autoridad Certificadora, este documento es totalmente infalsificable y garantiza que el Vendedor es quien dice ser.

PROTOCOLO SSL
Cmo trabaja?
Cuando el cliente pide al servidor seguro una comunicacin segura, el servidor abre un puerto cifrado, gestionado por un software llamado Protocolo SSL Record, situado encima de TCP. Ser el software de alto nivel, Protocolo SSL Handshake, quien utilice el Protocolo SSL Record y el puerto abierto para comunicarse de forma segura con el cliente.

PROTOCOLO SSL HANDSHAKE

Durante el protocolo SSL Handshake, el cliente y el servidor intercambian una serie de mensajes para negociar las mejoras de seguridad. Este protocolo sigue las siguientes seis fases (de manera muy resumida): La fase Hola, usada para ponerse de acuerdo sobre el conjunto de algoritmos para mantener la intimidad y para la autenticacin. La fase de intercambio de claves, en la que intercambia informacin sobre las claves, de modo que al final ambas partes comparten una clave maestra. La fase de produccin de clave de sesin, que ser la usada para cifrar los datos intercambiados. La fase de verificacin del servidor, presente slo cuando se usa RSA como algoritmo de intercambio de claves, y sirve para que el cliente autentique al servidor. La fase de autenticacin del cliente, en la que el servidor solicita al cliente un certificado X.509 (si es necesaria la autenticacin de cliente). Por ltimo, la fase de fin, que indica que ya se puede comenzar la sesin segura.

PROTOCOLO SSL RECORD

El Protocolo SSL Record especifica la forma de encapsular los datos transmitidos y recibidos. La porcin de datos del protocolo tiene tres componentes: MAC-DATA, el cdigo de autenticacin del mensaje. ACTUAL-DATA, los datos de aplicacin a transmitir. PADDING-DATA, los datos requeridos para rellenar el mensaje cuando se usa cifrado en bloque.

APLICACIONES
PGP
Pretty Good Privacy (PGP) es el programa ms popular de encriptacin y de creacin de llaves pblicas y privadas para seguridad en aplicaciones informticas. Escrito originalmente por Philip Zimmermann. PGP se ha convertido en el estndar de seguridad para las plataformas en que se ha lanzado. PGP es ideal para poder aadir seguridad a documentos, aplicaciones, correos electrnicos, etc., y enviarlos de forma mucho ms segura a travs de Internet. Gracias a su sistema de claves pblicas y privadas, permite controlar que personas pueden leer la informacin.

APLICACIONES
GNUPG
GnuPG, al igual que PGP, es un programa para cifrar y firmar archivos, documentos o correos electrnicos. La principal diferencia con PGP es que es completamente libre y la licencia que lo acompaa es totalmente gratuita incluso para usos comerciales. Es muy importante tener en cuenta que todo el cdigo fuente es accesible, por lo que la existencia de puertas traseras es prcticamente imposible (muy difcil) de que existan. GnuPG (o tambin GPG) fue desarrollado originalmente para Linux y ha sido transportado a Windows. Su instalacin y manejo es algo ms complicado que PGP.

BIBLIOGRAFA
Curso de Seguridad Informtica y Criptografa; Jorge Rami Aguirre; Universidad Politcnica de Madrid; Espaa; 2006. Seguridad: Criptografa; Cristbal Penalva Ivars. Criptosistemas Clsicos; Escuela Universitaria de Informtica de la Universidad Politcnica de Madrid; Espaa. http://www.pedroximenez.com/ssl.htm www.iec.csic.es/criptonomicon/ssl.html