SEGI04_Contenidos

Sistemas de identificacin. Criptografa.

Caso prctico

Uno de los principales fines de la seguridad informtica es proteger la

informacin. Proteger la informacin, entre otras cosas, implica que los
usuarios y usuarias de una empresa puedan confiar en la misma y que la
informacin sea accesible solo por el personal autorizado.

Precisamente algunos de los problemas a los que se tiene que enfrentar la

empresa de Juan en esta ocasin, estn muy estrechamente relacionados con
la confiabilidad y confidencialidad.
phishing, es uno de los delitos informticos ms utilizados

Actualmente, el
por los estafadores en la red. Este hecho, entre otros, afecta al departamento
de comercio electrnico de la empresa de Juan. Despus de realizar algunos
estudios con encuestas, los encargados del estudio han llegado a la conclusin de que la empresa est
perdiendo un sector importante de su clientela potencial, porque no confan en realizar los trmites de compra a
travs de la web.

Estando en una sesin de trabajo en la que se analiza este hecho, el ponente determina:

-Estamos ante un problema de confiabilidad.

-Esto se traduce en cuantiosas prdidas econmicas -Intervino rpidamente el director-.

-Por otra parte, se deduce que existen algunos problemas relacionados con la confidencialidad de la informacin.
Existen muchos datos estrictamente confidenciales a los que solo pueden tener acceso determinadas personas.
Por ejemplo, en la empresa se est elaborando un nuevo plan de marketing y una reestructuracin econmica
Puntualiz el jefe del departamento de marketing-. Ignacio sabr ms que yo sobre el tema, pero creo que se
debera proteger esta informacin cuando viaja por la red.

-Es cierto, mucha informacin al respecto, viaja continuamente por la red. En caso de ser interceptada y de llegar
a mano de quien no debera, como por ejemplo alguna empresa de la competencia, podra suponer echar por
tierra meses de trabajo advierte Ignacio-, sin contar con los efectos econmicos que implicara. Existen
programas que rastrean el trfico en la red, por tanto no sera algo descabellado.

-Adems de todo ello, que no es poco, la ley exige que determinados datos de los clientes se almacenen de
forma ilegible para incrementar el nivel de seguridad y asegurar que nadie pueda tener acceso a informacin
Intervino Juan, que cada vez se encuentra en una posicin ms activa en la empresa-.

La respuesta a muchos de estos problemas est en el cifrado de la informacin.

Reflexiona

Como sabes, existen programas que pueden rastrear el trfico en la red. Cuando entramos en un sitio Web con
nuestro usuario y contrasea, esos datos suelen viajar por la red hasta el servidor para comprobar que el usuario
est dado de alta y que la contrasea es correcta. Te imaginas qu podra pasar si cuando introducimos nuestro
usuario y contrasea en un sitio se enva al servidor "en claro" (sin cifrar)?

Debes conocer

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

sta es una presentacin sobre los contenidos fundamentales que se tratarn a lo largo de todo el tema. Es
interesante que veas esta presentacin para hacerte una idea de lo que vas a aprender en la presente unidad:

Materiales formativos de FP Online propiedad del Ministerio de Educacin,

Cultura y Deporte.
Aviso Legal

Introduccin a la criptografa.

Caso prctico

Ha llegado la hora de hacer la copia de seguridad de uno de los servidores

de la empresa. En dicho servidor, se encuentran bases de datos con datos
personales de la clientela, documentos de gestin econmica de la empresa
y otros documentos confidenciales, a los que solamente deberan tener
acceso personas muy concretas de la empresa.

-Recuerdo -dice Ignacio- que unos aos atrs, un empleado que tena un
negocio de forma paralela a su trabajo en la empresa, obtuvo datos
personales de clientes en beneficio de su negocio.

-Naturalmente, se supone responde Juan -, que dicho empleado no debera tener acceso a dichos datos y
mucho menos utilizarlos para su negocio.

Por este tipo de cosas, a la hora de realizar la copia se seguridad, habr que proteger de alguna manera la
informacin, ya que en el servidor destino se almacenan otros datos a los que s tienen acceso muchos
empleados y empleadas de diversos departamentos.

Juan propone proteger con contrasea los ficheros confidenciales, pero Ignacio cree que no ser suficiente:

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

-Por qu no protegemos con contrasea los ficheros que sean confidenciales? propone Juan.

-Es una buena idea, pero no es suficiente determina Ignacio-. Adems de no ser efectiva al 100%, en muchos
casos, no todos los tipos de ficheros son susceptibles de ser protegidos con contraseas por s solos.

-Entonces, Qu podemos hacer? Pregunta Juan.

-Debemos cifrar la informacin ms relevante. Adems, en el caso de algunos datos personales, lo exige la
propia ley confirma Ignacio.

Es a partir de este momento cuando Juan e Ignacio de ponen a investigar sobre criptografa y sus diferentes
tcnicas.

Reflexiona

Seguramente alguna vez habrs visto, o incluso habrs empleado en la infancia, un peculiar lenguaje que
consiste en aadir una nueva slaba detrs de cada slaba de la palabra, compuesta por una consonante y la
vocal de la slaba que le precede. De esta forma y utilizando la letra 'p' como consonante, la palabra 'casa'
pasara a ser 'capasapa'. Cuando los nios y nias emplean este lenguaje, lo hacen con el objetivo de que otras
personas que escuchan la conversacin no sean capaces de entenderla, quedando restringida al emisor y el
receptor del mensaje.

Dicho lenguaje no deja de ser una tcnica de cifrado cuyo objetivo, como en tantas otras ocasiones, es conseguir
la confidencialidad de la informacin.

Aspectos de seguridad.

En la primera unidad conociste algunos de los aspectos deseables en un sistema

seguro. Vamos a volver a verlos y a aadir alguno que no mencionamos en esa
primera toma de contacto. De esta forma, en los siguientes epgrafes podrs relacionar
las diferentes tcnicas criptogrficas con dichos aspectos.

Vamos a definir los siguientes aspectos:

Integridad: Se refiere a la capacidad de asegurar que la informacin transmitida
a travs de la red o almacenada en algn medio, no ha sido alterada por algn
desconocido.
No repudio: Permite garantizar que los participantes en una transaccin no nieguen haber realizado una accin "en
lnea". Por ejemplo, que hagamos una compra y posteriormente nos neguemos a pagarla alegando que no fuimos
nosotros.
Autenticidad: Hace alusin a la capacidad de conocer la identidad de la persona o entidad con la que estamos
tratando a travs de Internet. Va a repercutir en la confianza del usuario o usuaria hacia la empresa que ofrece el
servicio y viceversa: Cmo sabemos que determinado sitio Web es de la empresa que aparenta ser? Cmo sabe
el empresario que un cliente es quien dice ser?
Confidencialidad: Garantiza que la informacin slo puedan ser leda por aquellas personas autorizadas a hacerlo.
Privacidad: Se refiere al control que debemos tener sobre el uso que se haga de la informacin que proporcionamos
como clientes o clientas a una empresa.

En lo sucesivo, haremos alusin especialmente al cifrado de la informacin en el envo de mensajes. En cualquier caso, el
cifrado, no se limita a dicho mbito, sino que tambin se aplica a informacin almacenada.

Autoevaluacin

Relaciona cada aspecto de seguridad con la situacin descrita, escribiendo el nmero asociado al
aspecto de seguridad que le corresponda en el hueco correspondiente.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Ejercicio de relacionar.
Situacin

Relacin

Caracterstica

Una persona no autorizada consigue leer el contenido de un mensaje.

1. Integridad.

Negativa a pagar un artculo comprado por Internet alegando que fue otra
persona la que hizo la compra.

2. Repudio.

Un mensaje es interceptado y alterado antes de que llegue a su destino.

3. Autenticidad.

Una pgina falsa se hace pasar por otra existente para recabar contraseas.

4.
Confidencialidad.

Enviar

Concepto de criptografa.

Las distintas tcnicas criptogrficas te ofrecen un modo de proteger los datos almacenados o intercambiados a travs de la
red. Del mismo modo, logran algn otro de los requisitos de seguridad antes mencionados.

El cifrado es el proceso de transformar un mensaje de forma que no pueda ser ledo por nadie ms que el
remitente y el destinatario

Como hemos dicho en el anterior epgrafe, la criptografa es muy til para incrementar la
seguridad en la informacin transmitida a travs de la red, pero no se limita a este contexto. La
criptografa te permite proteger tanto la informacin almacenada como la transmisin de
dicha informacin.

Mediante la criptografa podemos conseguir:

Integridad del mensaje.
No repudio.
Autenticacin.
Confidencialidad.

Veremos con qu tcnicas logramos cada uno de estos aspectos.

Como acabas de ver, el cifrado consiste en la trasformacin del texto o datos originales en
otros ininteligibles. Para realizar este proceso, es necesario algn tipo de clave.

Ejercicio resuelto

Muestra algn ejemplo de mtodos de cifrado sencillos especificando la clave que utilizas para cifrar la
informacin.
Mostrar Informacin

Historia.

Conocer algunos hechos acerca de la historia de la criptografa y sus inicios,

adems de resultar interesante, te ayudar a comprender cmo empezando por
mtodos muy simples, se lleg a los sofisticados
algoritmos que se utilizan hoy
en da.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Si bien las tcnicas criptogrficas ms utilizadas hoy en da tienen escasas

dcadas, existen indicios de mensajes criptogrficos en multitud de civilizaciones
desde hace cientos de aos, como los egipcios, los hebreos o los babilonios.

Desde el inicio de los aos 1920, se comenz a utilizar en Europa una mquina
llamada Enigma. Se trata de una mquina cuyo mecanismo utilizaba tanto la
sustitucin como transposicin de caracteres. Cada da se generaba una nueva clave, de forma que en caso de que el
enemigo interceptase alguno de los mensajes cifrados, no resultara fcil de descifrar, al menos en un tiempo razonable
como para poder actuar en consecuencia.

Para descifrar los mensajes en el destino se utilizaba otra mquina igual, ya que todas las mquinas del mundo tenan la
misma configuracin. Precisamente este hecho, provoc que con la captura de algunas de estas mquinas por parte de los
aliados, stos pudieran llegar a comprender su funcionamiento y, con ello, descifrar los mensajes alemanes.

Para saber ms

En el siguiente enlace podrs ampliar la informacin respecto a la historia y evolucin de la criptografa desde sus
comienzos.
Historia de la criptografa en Wikipedia.

Primeros mtodos de cifrado.

Como has visto, las tcnicas criptogrficas se han ido perfeccionando poco a poco y hacindose
ms sofisticadas, desde que se cifraron los primeros mensajes hace ms de 2000 aos hasta
los tiempos actuales.

Uno de los primeros mtodos utilizados fue el mtodo de la esctala. Este mtodo era utilizado
por los espartanos y consista en enrollar una cinta en un bastn de forma que, posteriormente,
se escriba el mensaje a lo largo del bastn. De esta forma, cuando se desenrollaba la cinta, el
mensaje quedaba ilegible. Para descifrarlo, haba que volver a enrollar la cinta a un bastn del
mismo grosor, para que las letras quedasen colocadas en el orden adecuado.

Otro mtodo utilizado habitualmente, fue el Polybios, que inventado por el escritor griego del
mismo nombre. Polybios coloc las letras del alfabeto en una tabla a partir de la cual se
sustituyen los caracteres correspondientes. De esta forma, cada letra del alfabeto, se sustituye
por un par de letras que indican la fila y la columna en la cual aquella se encuentra.

Ejercicio resuelto

Cifra en siguiente mensaje con el mtodo Polybios. Para ello debes utilizar la tabla que ves a
continuacin.
Mensaje: "Polybios fue un escritor griego."

Mtodo Polybios
A

IJ

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Mostrar Informacin

Otro mtodo clsico de cifrado por sustitucin es el conocido como cifrado del Csar. Este mtodo fue empleado en los
tiempos de la Roma Imperial y es llamado as porque es el procedimiento que empleaba Julio Csar para enviar mensajes
secretos a sus legiones. Consista simplemente en sustituir una letra por la situada tres lugares adelante en el alfabeto. Esto
es:
La A se transformaba en D.
La B en E.
La C en F.
Y as sucesivamente, hasta que la Z se converta en C.

Debido a la correspondencia entre el alfabeto original y el de cifrado, era un mtodo bastante vulnerable.

Autoevaluacin

Utilizando las tcnica del Csar, la frase "mas vale pajaro en mano que ciento volando" quedara como "sgy bgrk
vgpgxu

" utilizando un desplazamiento de

caracteres

(sin contar la ).
Enviar

Tcnicas criptogrficas.

Caso prctico

Pedro trabaja en el departamento de administracin y quiere enviarle a

Ignacio un correo con informacin confidencial. El contenido del mensaje
consiste en una serie de propuestas que le enva de cara a tomar decisiones
de inversin econmica. Ignacio por su parte, dar su punto de vista tcnico.

-Ringgg! -Suena el telfono-.

-Digame? -Pregunta Pedro-.

-Hola Ignacio, soy Pedro del departamento de Administracin. Mira, hemos estado estudiando algunos aspectos
que podramos mejorar para aumentar los beneficios. Algunos de ellos incluyen elementos tcnicos, por eso me
gustara que le echases un vistazo para que me des tu opinin y para que hables con algunos proveedores y
proveedoras en el caso de que ests de acuerdo en algunos puntos concretos. Bueno, en el correo que te envo
ya te explico todo con detalle.

-De acuerdo, pero antes de que me lo enves, te recomiendo que me lo mandes a travs de una cuenta de correo
seguro. Por ejemplo, una cuenta gmail de Google. De esa forma la informacin viajar encriptada y nos cubrimos
las espaldas en el caso de que algn hacker trate de rastrear la red con un sniffer.

-De acuerdo, lo mandar a travs de una cuenta segura, descuida.

-Muy bien Pedro, pues ya estoy al tanto de tu correo -le confirma Ignacio-.

-Gracias Ignacio, espero tu respuesta.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Es muy importante asegurarse de que solamente el destinatario, en este caso Ignacio, va a poder acceder a
dicha informacin.

Si no se toman las medidas adecuadas y un

hacker rastrease la red con un
sniffer, podra obtener parte de la
informacin incluida en el mensaje. De ocurrir esto, se echaran por tierra meses de trabajo, por no hablar de la repercusin
econmica que podra acarrear si llegase a manos de una empresa de la competencia.

Pero los problemas no terminan aqu. Como sabes, hoy en da se puede suplantar la identidad en el correo electrnico. Si
otra persona le enva un correo a Ignacio con informacin falsa hacindose pasar por ste e Ignacio toma alguna decisin
en base a ello, podra llegar a acarrear graves consecuencias. Por otra parte, el mensaje tambin es susceptible de
modificacin durante el trfico. Si el mensaje fuese manipulado se podran tomar decisiones errneas.

Llegado a este punto, ya sabes en qu cosiste la criptografa de forma general, pero todava no hemos visto las tcnicas
que se utilizan hoy en da. Existen multitud de tcnicas criptogrficas.

Vamos a ver que, dependiendo de qu tcnicas utilicemos para cifrar la informacin, conseguiremos unos objetivos de
seguridad u otros como, por ejemplo, confidencialidad, integridad o autenticacin (que est directamente relacionada con
los sistemas de identificacin).

Criptografa simtrica.

Si buscas la palabra simetra en el diccionario de la Real Academia, la primera definicin que encontrars ser la siguiente:
Correspondencia exacta en forma, tamao y posicin de las partes de un todo.

Como sabes, la mayora de los primeros mtodos de cifrado, utilizaban la misma clave para cifrar y descifrar el mensaje,
aplicada de forma inversa. Esto significa que son mtodos de cifrado simtricos.

Del mismo modo, si aplicamos dichas definiciones al cifrado digital, un cifrado simtrico es aquel que aplica la misma clave
para cifrar y descifrar (aunque generalmente de forma inversa). Imagina cifrar la combinacin de una caja fuerte
multiplicando cada una de sus cifras por un nmero. Para descifrar dicho nmero, solo tendramos que dividir cada una de
las cifras por ese mismo nmero para volver a obtener la combinacin.

Hoy en da, se utilizan claves digitales. El algoritmo de cifrado simtrico ms usado hoy en da es el DES (Acrnimo. DES=
Data Encryption Standard) que comenz utilizando una clave de 56 bits. Debido al incremento de la capacidad de cmputo
de los ordenadores, una clave se 56 bits se acab quedando escasa y se pas a utilizar el triple DES, que consiste en cifrar
tres veces el mensaje con otras tantas claves. Otros ejemplos de sistemas simtricos son RC2, RC4 o RC5 con claves de
hasta 2048 bits.

La seguridad, tanto en un cifrado simtrico como en otras tcnicas que vers posteriormente, ir en funcin de la longitud de
la clave.

Reflexiona

En una ocasin, una organizacin propuso un reto que consista en descifrar un mensaje cifrado con una clave
RSA de 64 bits, para lo cual se emplearon 5 aos en el ao 2002.

Inconvenientes de la criptografa simtrica.

Hasta aqu no parece haber problemas ms all de la complejidad de la propia clave, pero vamos a ver que no es el nico
problema. En un contexto en el que queremos enviar un mensaje a otro destinatario y si partimos de la base de que el
destinatario tiene que conocer la clave para poder descifrar el mensaje, cmo hacemos llegar a ste la clave? Si enviamos
la clave junto al mensaje, corremos el riesgo de que dicho mensaje sea interceptado con la clave, de forma que podr ser

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

descifrado.

Por lo tanto, tenemos un primer problema, que es enviar la clave se forma segura al destinatario, pero an hay otro
problema ms. Necesitaramos una clave diferente para cada uno de los destinatarios, ya que, si utilizsemos siempre la
misma clave, sera conocida por todos y se perdera la confidencialidad deseada. En la prctica, utilizar una clave para cada
uno de los destinatarios en inviable.

Ejercicio resuelto

Si tenemos un grupo de 5 personas. Cuntas claves seran necesarias para comunicarse mediante
cifrado simtrico entre todas ellas?
Mostrar Informacin

Criptografa de clave pblica.

Como vas a ver, el cifrado de clave pblica, supuso un gran avance en lo referente a tcnicas criptogrficas. En 1976,
Whitfield Diffie y Martin Hellman crearon una tcnica totalmente nueva para cifrar mensajes, denominada criptografa de
clave pblica.

Dicho mtodo tiene las siguientes caractersticas:

Cada persona tendr dos claves digitales relacionadas matemticamente entre s.
Una clave es pblica y la otra privada.
Ambas sirven para cifrar y descifrar, pero lo que se cifra con una, slo se podr descifrar con la otra.
Las funciones matemticas usadas para generar las claves garantizan que no se puede averiguar una clave a partir
de la otra.

Al utilizar una clave diferente para cifrar y descifrar el mensaje, no existe el problema del intercambio de claves que tena el
cifrado de clave simtrica.

Ejemplo:

Qu ventajas tiene este mtodo?

Nos garantiza la confidencialidad del mensaje, evitando los inconvenientes que tiene el cifrado simtrico.

Con dicho mtodo conseguimos cubrir todos los aspectos de seguridad?

No, sigue sin existir garanta de que el emisor sea quien dice ser (autenticacin). Por tanto, ste podra negar haber
enviado el mensaje (no repudio). Tampoco garantiza que el mensaje no haya sido alterado durante la transmisin
(integridad).

Autoevaluacin

Ignacio, quiere enviarle al gerente de la empresa un correo confidencial. Seala cul de las siguientes
opciones sera la ms adecuada para mantener dicha confidencialidad.
Cifrar el mensaje con la clave privada de Ignacio

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Cifrar el mensaje con la clave privada del gerente

Cifrar el mensaje con la clave pblica del director.
Cifrar el mensaje con una clave simtrica que debern conocer ambos.

Firmas digitales.

Al igual que la firma manuscrita tradicional, permite identificar a la persona que, en este
caso, est realizando una transaccin electrnica. Por tanto, logra la autenticacin del
usuario, cosa que no era posible a travs de la criptografa de clave pblica por s sola.

Dicho de otro modo, permite identificar al emisor, certificando que es quien dice ser, es
decir, que no se trata de ningn impostor o impostora, lo que implica evitar el repudio. Esta firma compromete al emisor,
actuando como prueba, de la misma forma que nos compromete la firma manuscrita cuando firmamos un documento, con la
ventaja de que, en este caso, al ser una firma digital es mucho ms fcil de verificar y contiene mucha ms informacin.

Desde el punto de vista tcnico, es el proceso inverso al de la clave pblica. En este caso, el emisor cifra el mensaje original
empleando su clave privada. El receptor, para descifrarlo, usar la clave pblica del emisor.

Lgicamente, hay que usarlo en combinacin con la clave pblica para seguir garantizando la confidencialidad. De lo
contrario, al utilizar como clave de descifrado una clave pblica, cualquier persona podra tener acceso al mensaje.

Autoevaluacin

Seala la opcin correcta:

Si envo una informacin encriptada con la clave pblica de mi destinatario, ste o sta podr
desencriptarla solamente con mi clave pblica.
Si encripto un mensaje con la clave pblica de mi destinatario aseguro la confidencialidad del mensaje.
Si yo encripto un mensaje con la clave privada de mi destinatario, ste sta podr desencriptar el
mensaje con mi clave Pblica.
Si encripto un mensaje con mi clave publica, aseguro que el mensaje es mo, es decir, autentifico el
mensaje.

Funciones hash.

Como sabes, hasta ahora hemos visto como podemos conseguir confidencialidad,
autenticacin y no repudio. An queda un paso ms que lograr: la integridad del
mensaje. Con integridad nos referimos a la capacidad de asegurar que el
mensaje no sea alterado durante su transmisin.

Esto es posible mediante las funciones hash, tambin llamadas funciones

resumen. Una funcin hash, es un algoritmo que se aplica sobre el mensaje y
produce un cdigo de longitud fija que es un resumen del mismo.

La funcin puede ser tan simple como contar el nmero de unos del mensaje o mucho ms compleja y producir un nmero
de 128 bits resultado de contar el nmero de 0, el de 1, el de 00, el de 11, y as sucesivamente. En cualquier caso, una
funcin hash, debe tener al menos dos caractersticas deseables:
Que existan pocas probabilidades de que varios documentos generen el mismo valor resumen.
Debera ser prcticamente imposible generar un documento que genere un valor resumen determinado.

Por todo ello, los algoritmos que se utilizan en la prctica son bastante complejos desde el punto de vista matemtico. Hay
funciones estndar, como MD4 (Acrnimo. MD= Message-Digest Algorithm 4) y MD5 (Acrnimo. MD= Message-Digest
Algorithm 5), que producen nmeros de 128 y 160 bits respectivamente.

Su funcionamiento cuando enviamos un mensaje cifrado es el siguiente: antes de cifrar el mensaje, se le aade el nmero
obtenido de aplicarle este algoritmo. El receptor, tras descifrar el mensaje original, le volver a aplicar la funcin y
comprobar que el nmero obtenido coincide con el que recibi. Esto garantiza que el mensaje no ha sido alterado.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Otro uso tpico de las funciones resumen es utilizarlas para almacenar los valores resumen de las contraseas. Lo que
se pretende con esto, es evitar guardar los valores en claro por seguridad. Adems, de esta forma tenemos una solucin
para comprobar las contraseas. Por ejemplo, en Linux, se almacenan los valores resumen de las contraseas en el fichero
etc/passwd.

Cuando se firma digitalmente un documento, se utiliza una funcin resumen del documento firmado en la firma
electrnica. Gracias a dicho valor resumen, la firma, no slo permite identificar a un individuo, sino que la firma ser nica
para cada documento concreto que ste firme.

Para lograr todos los aspectos de seguridad mencionados al principio (salvo el de privacidad), se usar conjuntamente
criptografa de clave pblica, funciones resumen y firmas digitales.

Debes conocer

En el siguiente vdeo puedes ver un vdeo en el que se ve de forma muy grfica todo el proceso de la firma digital
que acabamos de ver.

Vdeo sobre la firma electrnica.

Sobres digitales.

Has visto que el cifrado de clave pblica es un mtodo efectivo de cara a mantener la confidencialidad y combinado con la
firma electrnica se pueden lograr otros aspectos como la autenticacin y el no repudio. Uno de los problemas que puedes
notar en este tipo de cifrado es que es computacionalmente lento.

Es decir, si usamos claves de 256 o 512 bits para cifrar un documento de gran tamao podra llegar a tardar bastante
tiempo en realizar la operacin. La criptografa de clave simtrica es mucho ms rpida pero tiene el problema del envo de
la clave.

Como solucin intermedia al problema del que hablamos se propuso: usar criptografa simtrica para cifrar documentos
grandes y enviar la clave cifrada mediante criptografa de clave pblica.

Este mtodo es lo que se conoce como sobre digital. En el siguiente esquema puedes ver su funcionamiento.

Autoevaluacin

La tcnica conocida como sobre digital, consiste en:

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Cifrar un documento extenso con la clave privada del destinatario y posteriormente con su clave pblica.
Cifrar el documento con la clave privada del emisor para posteriormente cifrar la propia clave con cifrado
simtrico.
Cifrar el documento con una clave simtrica y posteriormente cifrar la clave simtrica con la clave pblica
del emisor
Cifrar el documento con una clave simtrica y posteriormente encriptar dicha clave simtrica con la clave
pblica del emisor

Certificados digitales.

Caso prctico

Recientemente se ha realizado un estudio a travs de una serie de

encuestas a clientela potencial del portal de comercio electrnico de la
empresa. Despus de dicho estudio, ha quedado de manifiesto que la
principal razn por la que gran parte de esa clientela potencial no compra es
la desconfianza. Es decir, tienen miedo a sufrir estafas mediante delitos
informticos como, por ejemplo, el famoso Phishing.

Una vez ms, Juan e Ignacio proponen una solucin al problema en una
reunin con el equipo directivo y personal de diversos departamentos. En
este caso, la solucin propuesta consiste en utilizar certificados digitales:

-La solucin puede estar en los certificados digitales propone Ignacio- Alguien sabe lo que es un certificado
digital?

-Un certificado digital es un documento que contiene una serie de informacin de un usuario tal como: nombre,
direccin de correo electrnico, una clave pblica del usuario, una fecha de caducidad y la firma de una autoridad
de certificacin respondi, a su vez, otro miembro de la mesa.

-S! Yo tengo uno y me ahorra mucho tiempo haciendo gestiones por Internet. Lo solicit hace tiempo y ahora
mismo puedo consultar informacin y hacer "papeleos" sin tener que hacer colas -responde Juan con
entusiasmo.

-Y habr peligro de que alguien se haga pasar por nosotros? Es decir, qu pasara si yo solicito un certificado
dando tus datos?-pregunta otro compaero.

-Tranquilo, eso est previsto. Para eso estn las autoridades de certificacin. Nuestro certificado, estar firmado
por una autoridad competente que habr comprobado anteriormente la correspondencia de identidad entre la
persona fsica y el certificado. Entonces siempre que el certificado est firmado por una de estas autoridades,
podemos estar seguros de la autenticidad del certificado.

-Pero Cmo podemos emplear un certificado digital para resolver este problema? interviene su compaera
Sandra.

-Pues sera algo similar. Lo que t tienes es un certificado personal, pero tambin existen certificados para
servidor -explica Juan una vez ms.

-Y cmo llevarlo a la prctica? pregunt Sandra con inters.

-Lo que necesitamos en este caso, es establecer una conexin SSL.

-Ya estamos con las siglas... -dijo Sandra un poco impaciente.

-Es el acrnimo de Secure Socket Layer aclar Ignacio-. Mediante una conexin de este tipo los datos viajan
encriptadas y, adems, proporcionaremos un certificado en el servidor. En el cliente sera opcional. De esta
manera cualquiera podr comprobar la veracidad del portal.

El certificado digital, puede tener diferentes formatos. Tambin existen varias formas de utilizarlo, pero la ms comn, es
instalarlo en el navegador web de nuestro ordenador. De esta forma, cuando entramos en un sitio que requiere nuestra

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

identificacin mediante certificado digital, el certificado ser detectado y una vez comprobados nuestros datos podremos
acceder al sitio.

Mediante el proceso citado, podramos hacer multitud de gestiones por Internet evitando tener que acudir fsicamente a los
sitios, hacer colas y dems inconvenientes que conlleva el mtodo tradicional. Algunos ejemplos son: consultar la vida
laboral, entregar la declaracin de la renta, etc.

En cualquier caso, este no es el nico fin de los certificados digitales. La otra cara de la moneda est en verificar la
identidad de los sitios web. Como sabes, hoy en da, uno de los delitos ms tpicos en la red es el Phishing. Una de las
principales formas de evitarlo es comprobar la identidad de los sitios mediante los certificados digitales.

Autoridades de certificacin.

Llegado a este punto ya sabes lo que es un certificado digital, pero an hace falta tener
en cuenta otra cuestin: cmo se verifica la asociacin entre el certificado digital y una
persona fsica? Es decir, si descargsemos el certificado por Internet necesitaramos
algo precisamente similar al propio certificado para verificar quien somos y as poder
descargarlo. Como esto no es posible ya que todava no tenemos el certificado, har
falta que una tercera parte de confianza, verifique nuestra identidad. Aqu es donde
entran las llamadas autoridades de certificacin.

Es posible que todava no te haya quedado del todo claro en qu consisten y por qu
son necesarias las autoridades de certificacin. Pues bien, pongamos un ejemplo:
cuando vas a sacar o renovar el DNI (Acrnimo. DNI = Documento Nacional de
Identidad), no es posible comunicarte con una autoridad emisora directamente para que te enven el DNI sin ningn trmite
adicional. Tendrs que acudir fsicamente a las oficinas de los organismos competentes para que un funcionario o
funcionaria verifique que realmente eres la persona fsica a la que se asocia la identidad, comprobar la huella dactilar, la
fotografa, etc. De lo contrario, alguien podra hacerse pasar por ti. Es por esta razn por la que podemos confiar en que un
DNI se corresponde con la persona fsica, porque est avalado por una tercera parte de confianza, en este caso la polica.

Con un certificado digital pasa lo mismo. Necesitamos que est avalado por una tercera parte de confianza, en este caso,
una autoridad de certificacin. Por lo tanto una autoridad de certificacin es una institucin que garantiza que un
certificado digital pertenece a una persona fsica concreta.

Recuerdas que en el anterior epgrafe decamos que el certificado digital contiene, entre otras cosas, la firma digital de una
autoridad de certificacin? Pues precisamente esa es la manera de dejar constancia de que dicho certificado est avalado
por la autoridad de certificacin que lo firma (digitalmente).

Existe una especie de jerarqua de autoridades de certificacin, de forma que, grandes autoridades certifican a otras para
poder emitir certificados. De todos modos, en ltima instancia quien emite los certificados en Espaa, es la Fbrica Nacional
de Moneda y Timbre. Otro ejemplo de autoridad muy conocida, en este caso Americana, es Digicert.

Para saber ms

En el siguiente enlace podrs ampliar la informacin respecto a las autoridades de certificacin.

Autoridades de certificacin (Wikipedia).

Obtener un certificado digital en Espaa.

Ahora que ya sabes lo que es un certificado digital pasemos a la prctica. Vamos a ver los pasos que debemos seguir para
solicitar un certificado digital personal.

En primer lugar vamos a ver los pasos a seguir para solicitar un certificado digital personal:
1. Conectarse a la pgina de CERES e introducir nuestro DNI. Posteriormente se nos proporcionar un cdigo.
2. Ir con el cdigo recibido y nuestro DNI a una oficina de registro autorizada, por ejemplo, la seguridad social. Una
vez comprobada nuestra identidad deberemos firmar la solicitud.
3. Una vez realizados los dos pasos anteriores podemos volver a acceder a la pgina para descargar el certificado.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Debes conocer

En el siguiente enlace puedes ver un vdeo de CERES acerca del certificado digital.
Obtencin de un certificado digital.

En el siguiente enlace vers un tutorial donde se explica paso a paso como importar tu certificado digital tanto en
Mozilla Firefox, como en Internet Explorer.

Instalar el certificado digital en tu ordenador

Cuando tenemos el certificado de usuario instalado y entramos en un sitio que lo requiere, automticamente ser detectado
por el navegador. Veremos una ventana similar a la siguiente:

Otra opcin que existe para almacenar un certificado digital, son las tarjetas criptogrficas. Dicha tarjeta no es ms que una
tarjeta que incluye un chip donde se almacenar nuestro certificado. Lgicamente, si tenemos el certificado almacenado en
dicho soporte, necesitaremos un lector de tarjetas similar al de la siguiente imagen para emplearlo.

PKI.
PKI son las siglas de las palabras en ingls Public Key Infraestructure, que podemos
traducir como "Infraestructura de Clave Pblica". Cuando hablamos de infraestructura
de clave pblica, nos referimos a todo el conjunto de protocolos, servicios y estndares

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

necesarios para utilizar los diferentes sistemas basados en criptografa de clave pblica
como los certificados y las firmas digitales.

Teniendo esto en cuenta, las PKI, estn compuestas por:

Autoridades de certificacin.
Autoridades de registro.
Otro tipo de autoridades como las de los repositorios donde se almacenan los certificados emitidos, las autoridades
de fechado digital, etc.
Todo el software asociado, as como las polticas de seguridad utilizadas en estos sistemas.

Para saber ms

En el siguiente enlace podrs ampliar la informacin acerca de la infraestructura de clave pblica. Dicho enlace
corresponde a la entrada al respecto de la Wikipedia.
Entrada en Wikipedia sobre PKI.

En el siguiente vdeo vers como instalar un certificado digital de servidor en un Internet Information Server. Una
vez instalado se podra comprobar a travs de la pgina Web que muestra de ejemplo.

Vdeo-tutorial.

Herramienta GPG en Linux.

Caso prctico

En el departamento de marketing es frecuente intercambiar propuestas,

ideas y proyectos, tanto a nivel interno como con la direccin de la empresa
u otros departamentos.

Desgraciadamente, en dicho departamento no reina un buen ambiente

debido a la gran afluencia de empleados y empleadas, a las nuevas
incorporaciones y tambin a la alta competividad que genera trabajar por
comisiones. ltimamente, se han dado varios casos de falsificacin de
documentos y suplantacin de identidad.

Jos Garca, como portavoz de dicho departamento, se rene con Ignacio para tratar de buscar una solucin:

-Como sabes, en nuestro departamento ya se han dado casos en los que se ha suplantado la identidad de otro
empleado. Este hecho es realmente grave y, adems, el mal ambiente que se est creando no ayuda en absoluto
al buen funcionamiento del departamento explica Jos.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

-Entiendo Asiente Ignacio- En vuestro departamento trabajis con Linux, verdad?

-S, efectivamente. Ser un problema para llevar a cabo una solucin? Pregunta Jos preocupado.

-No, en absoluto. Os propongo que utilicis GPG que es una herramienta gratuita.

-Me hablas en chino Ignacio eso va a solucionar nuestro problema?

-S, no te preocupes. Podemos organizar un pequeo seminario para formar a los empleados y empleadas del
departamento en el manejo de la herramienta.

-Genial, yo soy el primero que no tengo ni idea del tema, as que perfecto.

-No te preocupes, vers como es ms sencillo de lo que parece. A travs de esta herramienta, tendris un
sistema de claves mediante el cual podris firmar documentos asegurando la identidad de la persona que enva
dicho documento. Tambin podris mandar la informacin confidencial cifrada, etc.

-Pues perfecto, ya nos explicars con ms calma entonces.

-Est hecho.

-Muchas gracias Ignacio, me dejas ms tranquilo.

-No hay de qu.

GnuPG, en un sistema de clave pblica de

cdigo abierto y gratuito. En este caso vamos a ver cmo utilizar algunas de
su instrucciones sobre una distribucin GNU/Linux, pero tambin podramos utilizarlo sobre Microsoft Windows.

Comandos para el cifrado simtrico.

A lo largo de este epgrafe conocers las principales instrucciones de la herramienta GPG de Linux. Para abrir el terminal de
lnea de comandos en Ubuntu 10, vamos a Aplicaciones > Accesorios > Terminal.

En primer lugar, es conveniente que conozcas como consultar la ayuda. Un comando muy til es:

man gpg: ayuda

Para cifrar un documento con clave simtrica se introduce el

comando y posteriormente nos pide una cadena de
texto que utilizar como clave simtrica. El resultado ser un fichero cifrado cuyo nombre ser el mismo que el
fichero fuente, pero con
extensin gpg.

gpg -c Documento

Debes tener en cuenta que si tu directorio activo no es el directorio del documento, debes escribir la ruta completa (por
ejemplo, Escritorio/Documento.txt).

Si bien el cifrado simtrico es menos seguro que el cifrado asimtrico, en ocasiones, puede resultar til cuando necesitamos
compartir un documento con un gran nmero de personas, a las cuales puede incluso que no conozcamos. En estos casos
es importante compartir la clave utilizando un mtodo seguro.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

Aadiendo el parmetro a la salida ser ASCII (archivo extensin .asc).

Para descifra un documento con clave simtrica, lgicamente, tendremos que introducir la clave con la que fue
cifrado. Debes fijarte en que, en este caso, el nombre del documento no es el mismo que en el caso anterior. En este
caso, el documento que queremos descifrar, ser el documento que est cifrado y, por lo tanto, tendr extensin gpg.

gpg -d Documento
Si se ejecuta con xito, se mostrar el contenido del fichero.

Ejercicio resuelto

Vamos a poner en prctica lo que acabamos de ver. El ejercicio consiste en cifrar y descifrar un fichero de
texto con clave simtrica en Ubuntu 10.
Mostrar Informacin

Comandos para el cifrado asimtrico (de clave pblica).

Para obtener un par de claves (pblica y privada, utilizamos la siguiente instruccin:

gpg --gen-key

Tras introducir la instruccin, nos pedir los siguientes parmetros: tipo de clave
(podemos elegir la RSA por ejemplo), tamao de la clave (ten en cuenta que
cuanto mayor sea, ser ms segura, pero tambin tardar ms tiempo la
operacin), periodo de validez, identificador de usuario, un comentario (opcional)
y contrasea para proteger la propia clave. Aunque en los ejercicios de prueba no
ser algo importante, esta clave no debe ser tan trivial como, por ejemplo, tu
nombre ya que es la nica forma de asegurarte que nadie utilizar tu clave
privada para hacerse pasar por ti, en caso de que llegue a manos no deseadas.

Es recomendable no utilizar tildes en el identificador ni en el comentario opcional

que podemos hacer.

Aadiendo el parmetro a la salida ser ASCII (archivo extensin .asc)

La siguiente orden, muestra un listado de las claves del usuario, lo que se conoce como anillo de claves.

gpg -k
En este caso, vamos a exportar la clave pblica al archivo salida.gpg (utilizando la orden output podramos darle el nombre
que quisiramos). De esta forma, la clave pblica puede ser compartida con otros usuarios.

gpg --output salida.gpg --export Usuario

El fichero salida.gpg con la clave se guardar por defecto en la carpeta del usuario.

Para compartir posteriormente esta clave pblica tenemos varias posibilidades: enviarla por correo electrnico, subirla a un
servidor de claves, "colgarla" en una pgina Web, etc.

Si exportamos la clave y la compartimos con otro usuario, ste tendr que importarla para incluirla en su anillo de claves. El
siguiente comando importa la clave pblica de un archivo (salida.gpg). De esta forma se aade dicha clave al anillo de
claves del usuario.

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

gpg --import salida.gpg

Ahora crearemos un documento firmado digitalmente a partir del documento fuente (el documento a firmar no es cifrado).
Necesitaremos introducir la clave para desbloquear la clave. Genera un fichero con extensin .gpg que no ser
directamente legible. Para restaurarlo necesitaremos la clave pblica de la persona que lo ha firmado.

gpg --sign Documento

Cuando el destinatario recibe el documento firmado, solamente tendr que ejecutar el siguiente comando sin parmetros
para restaurar el documento original y comprobar la firma. De esta forma se asegura que el mensaje no ha sido alterado
desde que se firm, de lo contrario, no sera posible su restauracin

gpg Documento

Para saber ms

A continuacin dispones de un manual de GPG donde podrs ampliar la informacin al respecto y encontrar
muchas ms instrucciones.
Manual GnuPG.

Anexo.- Licencias de recursos.

Licencias de recursos utilizados en la Unidad de Trabajo

Recurso (1)

Datos del recurso (1)

Recurso (2)

Autora: Plan de Alfabetizacin Tecnolgica Extremadura

Licencia: cc by-nc-nd

Procedencia:
http://www.flickr.com/photos/patextremadura/4643852621/

Autora: ne

Licencia: C

http://www

Autora: 24gotham

Licencia: CC BY-NC-ND

Procedencia:
http://www.flickr.com/photos/iconeon/2419133069/

Autora: Ia

Licencia: C

http://www

Autora: anvica

Licencia: CC BY-NC-ND

Procedencia:
http://www.flickr.com/photos/anvica/2947233762/

Autora: Fr

Licencia: C

Procedenc

Autora: KingRobertII

Licencia: CC BY-SA

Autora: to

Licencia: C

Procedencia:

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]

SEGI04_Contenidos

http://www.flickr.com/photos/photobyrk/5705842096

http://www

Autora: Diego Mndez

Licencia: GPL

Procedencia: Captura de pantalla de Firefox

Autora: Ri

Licencia: c

http://www

Autora: driusan

Licencia: CC BY-NC

Procedencia:
http://www.flickr.com/photos/driusan/2472706272/

Autora: Di

Licencia: G

Procedenc

Autora: Die Stimme der freien Welt

Licencia: CC BY-SA

Procedencia:
http://www.flickr.com/photos/dsdfw/382736757

http://moodle.teleformacionfp.aragon.es/pluginfile.php/17802/mod_resource/content/1/SEGI04/SEGI04_Web/index.html[14/12/2015 11:42:12]