Documentos de Académico
Documentos de Profesional
Documentos de Cultura
Conceptos Generales de Seguridad Informatica PDF
Conceptos Generales de Seguridad Informatica PDF
Conceptos generales.
Seguridad Informtica. 1
Bibliografa
Seguridad Informtica. 2
1
Contenidos
Definiciones.
Criterios de seguridad.
Tipos de ataques.
Medidas y polticas de seguridad.
Principios fundamentales.
Seguridad en Sistemas Operativos.
Seguridad en Bases de Datos.
Seguridad en Redes.
Seguridad Informtica. 3
Definiciones
Definiciones del DRAE, 22 edicin (2001):
Seguridad:
Cualidad de seguro.
(Mecanismo).- Que asegura un buen funcionamiento,
precaviendo que ste falle, se frustre o se violente.
Informacin:
Comunicacin o adquisicin de conocimiento que permiten
ampliar o precisar los que se poseen sobre una materia
determinada.
El conocimiento es lo que permite al soberano saber y al buen general
intuir, esperar y anticiparse. (Sun Tse, siglo V a.C)
Nam et ispa scientia potestas est (Bacon)
Proteccin:
Resguardar a una persona, animal o cosa de un perjuicio o
peligro.
Seguridad Informtica. 4
2
Seguridad en las TIC
En los ltimos tiempos se han realizado grandes avances en las
tecnologas de la informacin y las comunicaciones (TIC).
Los sistemas informticos se han introducido de forma generalizada en
el comercio, banca, industria, administracin, defensa, investigacin, ...
La aparicin y expansin de Internet, juntamente con los sistemas
informticos, han hecho posible la realizacin de tareas impensables
hace unos pocos aos: transacciones bancarias, resolucin de
problemas complejos, control, docencia, comercio electrnico, B2B, ...
Pero, a medida que los sistemas de informacin son ms complejos,
han puesto de manifiesto una mayor cantidad de puntos vulnerables:
El nmero de posibles atacantes crece muy rpidamente.
Los medios disponibles para efectuar ataques siguen una evolucin tan
rpida como los propios sistemas.
La generalizacin de Internet hace que los ataques puedan provenir de
cualquier lugar.
Seguridad Informtica. 5
Seguridad Informtica. 6
3
Sistemas informticos
Seguridad Informtica. 7
Criterios de seguridad
El Information Technology Security Evaluation Criteria (ITSEC) define
los siguientes criterios de seguridad:
Secreto o confidencialidad: la informacin debe estar disponible
solamente para aquellos usuarios autorizados a usarla.
Integridad: la informacin no se puede falsear. Los datos recibidos (o
recuperados) son los mismos que fueron enviados (o almacenados), etc.
Accesibilidad o disponibilidad: quin y cundo puede acceder a la
informacin?
La falta de accesibilidad produce una denegacin de servicio, que es
uno de los ataques ms frecuentes en Internet.
Autenticidad: asegurar el origen y el destino de la informacin.
No repudio: cualquier entidad que enva o recibe datos no puede alegar
desconocer el hecho.
Los dos criterios anteriores son especialmente importantes en el
entorno bancario y de comercio electrnico.
Seguridad Informtica. 8
4
Ms criterios de seguridad relacionados.
Consistencia: asegurar que el sistema se comporta como se supone
que debe hacerlo con los usuarios autorizados.
Aislamiento: impedir que personas no autorizadas entren en el
sistema.
Auditora: capacidad de determinar qu acciones o procesos se han
llevado a cabo en el sistema y quin y cundo las han llevado a
cabo.
Prevencin: los usuarios deben saber que sus actividades quedan
registradas.
Informacin: posibilidad de detectar comportamientos
sospechosos.
.....
Seguridad Informtica. 9
Aspectos negativos
Vulnerabilidad: punto o aspecto del sistema que es susceptible
de ser atacado. Equivale al conjunto de debilidades del sistema.
Amenazas o ataques (Threats): Posible peligro del sistema.
Pueden provenir de personas (hackers, crackers), de programas,
de sucesos naturales. Equivalen a los factores que se aprovechan
de las debilidades del sistema.
Contramedidas: tcnicas de proteccin del sistema contra las
amenazas.
Seguridad Informtica. 10
5
Tipos de vulnerabilidad
Seguridad Informtica. 11
Tipos de ataques
Situacin normal:
fuente destino
intruso
Flujo normal
Seguridad Informtica. 12
6
Tipos de ataques II
1.- Interrupcin: Destruye informacin o la inutiliza: Ataca la
accesibilidad o disponibilidad
Destruir algn dispositivo.
Saturar la capacidad del procesador,
Interrupcin
2.- Intercepcin: Una parte no autorizada gana el acceso a un bien.
Ataca la confidencialidad.
Seguridad Informtica. 13
Seguridad Informtica. 14
7
Tipos de ataques III
Intercepcin
(Confidencialidad) Interrupcin Modificacin Fabricacin
(disponibilidad) (Integridad) (Integridad)
Seguridad Informtica. 15
Medidas de seguridad
Seguridad Informtica. 16
8
Poltica de seguridad
Seguridad Informtica. 17
Seguridad Informtica. 18
9
Anlisis y gestin de riesgos II
En el anlisis de riesgos hay tres costes fundamentales:
Cr : Valor de los recursos y la informacin a proteger.
Ca : Coste de los medios necesarios para romper las medidas de
seguridad implantadas en el sistema.
Cs : Coste de las medidas de seguridad.
Es evidente que se debera cumplir que:
Ca > Cr > Cs
Es decir, el coste de romper las medidas de seguridad es mayor que
el de los posibles beneficios obtenidos.
El coste de las medidas de seguridad es menor que el de los
recursos protegidos.
De los tres sumandos es Cr el ms difcil de evaluar.
Cr = Valor intrnseco (hardware, software, datos, patentes, ...)
+ Costes derivados de su prdida, intercepcin o modificacin
(reposicin, repeticin de experimentos, recuperacin, ...)
Seguridad Informtica. 19
Seguridad Informtica. 20
10
Principios fundamentales de la seguridad
informtica (II)
3.- Principio del eslabn ms dbil.
En un sistema de seguridad el atacante siempre acaba encontrando y
aprovechando los puntos dbiles o vulnerabilidades. Cuando diseemos
una poltica de seguridad o establezcamos los mecanismos necesarios para
ponerla en prctica, debemos contemplar todas las vulnerabilidades y
amenazas. No basta con establecer unos mecanismos muy fuertes y
complejos en algn punto en concreto, sino que hay que proteger todos los
posibles puntos de ataque.
4.- Defensa en profundidad.
La seguridad de nuestro sistema no debe depender de un solo mecanismo
por muy fuerte que ste sea, sino que es necesario establecer varias
mecanismos sucesivos. De este modo cualquier atacante tendr que superar
varias barreras para acceder a nuestro sistema.
Seguridad Informtica. 21
Seguridad Informtica. 22
11
Principios fundamentales de la seguridad
informtica (IV)
7.- Participacin universal.
La participacin voluntaria de todos los usuarios en la seguridad de un
sistema es el mecanismo ms fuerte conocido para hacerlo seguro. Si todos
los usuarios prestan su apoyo y colaboran en establecer las medidas de
seguridad y en ponerlas en prctica el sistema siempre tender a mejorar.
8.- Principio de simplicidad.
La simplicidad es un principio de seguridad por dos razones:
En primer lugar, mantener las cosas simples, las hace ms fciles de
comprender. Si no se entiende algo, difcilmente puede saberse si es
seguro.
En segundo lugar, la complejidad permite esconder mltiples fallos.
Los programas ms largos y complejos son propensos a contener
mltiples fallos y puntos dbiles.
Seguridad Informtica. 23
Seguridad Informtica. 24
12
Evaluacin de seguridad en Sistemas
Operativos.
Uno de los criterios de seguridad ms extendido lo establece el
National Computer Security Center (NCSC), publicado en 1985 como
Trusted Computer Systems Evaluation Criteria (TSEC) tambin
llamado el libro naranja.
Define 4 niveles de seguridad (D,C,B,A) con algunos subniveles:
D : sistema con proteccin mnima.
C1 : sistema con seguridad discrecional,
C2: sistema con control de accesos,
.......
En la Unin Europea se public en 1990 el Information Technology
Security Evaluation Criteria (ITSEC).
Define 7 niveles de seguridad algo ms elaborados que los TSEC.
E0 : sistema con nivel de confianza nulo.
....E6: Sistema con proteccin y diseo de mxima confianza.
La metodologia de evaluacin est definida en el ITSEM, cuya primera versin
es de 1992.
Seguridad Informtica. 25
Seguridad Informtica. 26
13
Seguridad en Bases de Datos II.
Dada la complejidad de los problemas anteriores, es el propio
Sistema de Gestin de Bases de Datos (SGBD) el que
proporciona la seguridad de stas.
Un SGBD debe mantener los tres criterios bsicos:
Confidencialidad.
Integridad.
Disponibilidad.
La seguridad en Bases de Datos se implementa mediante
mecanismos de:
Identificacin y autentificacin.
Control de acceso a los objetos (datos y recursos).
Registro de auditora.
Proteccin criptogrfica de alguno de los datos.
....
Seguridad Informtica. 27
Seguridad Informtica. 28
14
Seguridad en Redes.
Seguridad Informtica. 29
Seguridad Informtica. 30
15
Seguridad Informtica. 31
350,0
300,0
250,0
200,0
150,0
100,0
50,0
- reas 3D 1
95
96
97
98
99
00
05
19
19
19
19
19
20
20
Seguridad Informtica. 32
16
Ventajas de las redes informticas
Seguridad Informtica. 33
Seguridad Informtica. 34
17
Nuevas vulnerabilidades
Privacidad:
Es ms difcil de mantener debido a:
Aumento de posibles usuarios que pueden penetrar en cada nodo.
Aumento de los puntos en que la informacin puede ser interceptada.
Integridad:
La transmisin de la informacin supone un riesgo claro.
Autenticidad:
No slo hay que identificar a los usuarios sino tambin a los nodos.
Disponibilidad:
Es muy fcil saturar una mquina lanzando ataques desde diversos puntos
de la Red.
El mecanismo ms utilizado para proporcionar seguridad en redes es la
criptografa:
Permite establecer conexiones seguras sobre canales inseguros.
Seguridad Informtica. 35
Seguridad Informtica
Tcnicas de Cifrado
Seguridad Informtica. 36
18
CRIPTOLOGIA
Seguridad Informtica. 37
CRIPTOANALISIS
Seguridad Informtica. 38
19
MODELO DE SEGURIDAD
Tercera parte
Parte Parte
confiable
mensaje mensaje
CANAL
clave clave
1: Algoritmo de transformacin
2: Generacin de informacin secreta
3: Distribucn y comparticin de claves
4: Protocolo de intercambio para un servicio
Seguridad Informtica. 39
CIFRADO
Tipos de transformaciones
Transformaciones (familias de funciones) reversibles
Cifrado simtrico
Transformaciones de una va
Compendio de mensajes
Funciones relacionadas
Cifrado asimtrico
Seguridad Informtica. 40
20
OTRAS TCNICAS
Seguridad Informtica. 41
CIFRADO SIMTRICO I
Clave compartida
Seguridad Informtica. 42
21
CIFRADO SIMTRICO II
Seguridad Informtica. 43
Sustitucin polialfabtica
El mismo smbolo se sustituye por varios
Ejemplo: cifrado vigenre
letra clave
t. Claro a b
c d e f g h i j k l m n o p q r s t u v x y z
a a b
c d e f g h i j k l m n o p q r s t u v x y z
b b c
d e f g h i j k l m n o p q r s t u v x y z a
c c d
e f g h i j k l m n o p q r s t u v x y z a b
d d e
f g h i j k l m n o p q r s t u v x y z a b c
e e f
g h i j k l m n o p q r s t u v x y z a b c d
.................................
x x y z a b c d e f g h i j k l m n o p q r s t u v
y y z a b c d e f g h i j k l m n o p q r s t u v x
z z a b c d e f g h i j k l m n o p q r s t u v x y
palabra clave:decepciondecepciondecepci
texto claro: estetextoesparaserescrito
texto cifrado:HWVIIGFHBHWREGCASEHWEVXVW
Seguridad Informtica. 44
22
CIFRADO SIMTRICO IV
atencio
Cifrado por trasposicin o permutacin 1735246
estetex
T. claro: este texto se cifrara por trasposicion tosecif
clave: atencion rarapor
T. Cifrado: etrti tcppn tsrai eiooo eeaso xfrsp soarc traspos
icionop
Algoritmos
DES: Data Encription Standart (clave 64 bits)
IDEA: International Data Encription Algorithm (128 bits)
Seguridad Informtica. 45
DES: CIFRADO
Cifra bloques de 64 bits con una clave de 56 bits
Seguridad Informtica. 46
23
DES: DESCIFRADO
Seguridad Informtica. 47
Seguridad Informtica. 48
24
OTROS ALGORITMOS DE CIFRADO
SIMTRICO
IDEA
International Data Encryption Algorithm
Procesa la entrada en bloques de 64 bits
Usa una clave de 128 bits
Incorpora nuevas transformaciones
operaciones lgicas (XOR)
operaciones aritmticas
suma y multiplicacin modular
9 etapas
52 subclaves
Para descifrar se usa el mismo esquema con distintas sublaves
las subclaves se obtienen de las de cifrado
Seguridad Informtica. 49
CIFRADO ASIMTRICO I
Par de claves
KUb, KRb
Seguridad Informtica. 50
25
CIFRADO ASIMTRICO II
X E Y D X
KRa KUa
Confidencialidad y autenticacin con cifrado asimtrico
Emisor: Y= EKRa (EKUb(X)) Receptor: X= DKRb (DKUa(Y))
Emisor: Y= EKUb (EKRa(X)) Receptor: X= DKUa (DKRb(Y))
Seguridad Informtica. 51
POSTULADOS DIFFIE-HELLMAN
Seguridad Informtica. 52
26
ALGORITMO RSA (Rivest Shamir
Adleman)
Cifrado de bloques
KU={e,n} KR={d,n}
C = EKU(M) = Me mod n
M = DKR(C) = Cd mod n = Med mod n
Generacin de claves
Seleccionar p, q primos grandes (>150 dgitos)
Calcular n = pxq
Calcular (n) = (p-1)x(q-1)
Seleccionar e mcd((n),e) = 1
Calcular d = e-1 mod (n)
Seguridad Informtica. 53
1 p = 7 q=17
2 n = pxq =7x17 = 119
3 (n) = (p-1) x (q-1) = 96
4 Seleccionar e primo respecto a 96 e=5
5 Calcular d = e (mod 96) = 77
-1
KU={5,119} KR={77,119}
Cifrado M=19 M =2476099 C= M5 mod 119 = 66
5
Seguridad Informtica. 54
27
INTERCAMBIO DE CLAVES PBLICAS I
Anuncio pblico
Directorio disponible pblicamente
Autoridad de claves pblicas
Certificado de claves pblicas
Seguridad Informtica. 55
A (6) EKUa(N1||N2) B
(7) EKUb(N2)
Seguridad Informtica. 56
28
INTERCAMBIO DE CLAVES PBLICAS III
(1) Ca
A B
(2) Cb
Seguridad Informtica. 57
Servicio de autenticacin
Seguridad Informtica. 58
29
ALGORITMO DIDACTICO
Seguridad Informtica. 59
MD5
Message Digest versin 5 (RFC1321)
Genera un cdigo de 128 bits
Procesa la entrada en bloques de 512 bits
SHA
Secure Hash Algorithm (FIPS PUB 180)
Genera un cdigo de 160 bits
Procesa la entrada en bloques de 512 bits
Seguridad Informtica. 60
30
FORMAS DE USO
Seguridad Informtica. 61
FIRMAS DIGITALES
Propiedades:
Capaz de verificar autor, fecha y hora
Autentificar contenido a la hora de la firma
Verificable por terceras partes
Requisitos:
Patrn de bits dependiente del mensaje que se firma
Informacin del emisor para prevenir falsificacin y negacin
Sencilla de generar
Sencilla de reconocer y verificar
Imposible de falsificar (ni firma, ni mensaje)
Debe ser prctico guardar una copia
Tipos
Directa
Arbitrada
Seguridad Informtica. 62
31
VARIAS FIRMAS
Seguridad Informtica. 63
ALGORITMOS Y APLICACIONES
Cifrado Hash
IDEA RSA DES MD5 SHA
Seguridad Informtica. 64
32
VISORES
Seguridad Informtica. 65
CLASIFICACIN DE CERTIFICADOS
Seguridad Informtica. 66
33
ENTIDADES Y CLASES
Entidades certificadoras
FNMT (Fabrica nacional de Moneda y Timbre)
Verisign
.....
Clases de certificados por nivel de seguridad
FNMT Clase 1 CA
FNMT Clase 1S CA
FNMT Clase 2 CA
Seguridad Informtica. 67
Seguridad Informtica. 68
34
INFORMACION
Seguridad Informtica. 69
CERTIFICADO
Seguridad Informtica. 70
35
INF. CERTIFICADOS
Seguridad Informtica. 71
36