Problemática de la seguridad

• La seguridad de la información se define como la

preservación de:

– Confidencialidad: Aseguramiento de que la información

es accesible sólo para aquellos autorizados a tener
acceso.

– Integridad: Garantía de la exactitud y completitud de la

información y de los métodos de su procesamiento.

– Disponibilidad: Aseguramiento de que los usuarios

autorizados tienen acceso cuando lo requieran a la
información y sus activos asociados.
La firma Digital
• Las Firmas y los Certificados Digitales,
son componentes habilitadores dentro de
la Seguridad Informática muy importantes.

• Los estándares vigentes aparecen el año

2000 y se estabilizan el año 2003 hasta la
fecha, es una tecnología muy dinámica y
tiene muchos campos de aplicación como
lo veremos a continuación.
Definiciones:
Encriptación Asimétrica
Llave Publica Encripta
Cualquiera la puede acceder
Usada para encriptar datos.

Llave Privada Desencripta

Sólo su dueño la puede acceder
Usada para desencriptar datos.
Firma Digital
1. El remitente inicia el proceso haciendo una suma matemática
de la Data (llamada Hash)
Función Hash
aplicada a la
Data normal
Data normal Código Hash

2. El remitente encripta el código Hash con su llave privada

Código Hash Código Hash
Firmado
Firma Digital
3. Al recibir la data y el Código Hash encriptado. El receptor
puede verificar el código Hash desencriptándolo con la llave
pública del remitente.

Código Hash Código Hash

Firmado

4. El receptor utiliza la data para calcular un nuevo código Hash)

Función Hash
aplicada a la
Data recibida
Data recibida Código Hash
Firma Digital
5. El Código Hash recibido es comparado con el Código Hash calculado.
Si concuerdan el receptor a verificado que la data no ha sido alterada
(Integridad)

Se comparan el Código
Hash Recibido y el
Código Hash calculado

Códigos Hash
concuerdan

Nota. Una firma digital, protege la data contra modificaciones,

pero no previene que sea vista por terceros, para ello se
requiere encriptar su data.
Firma Digital con Encriptación

Llave Pública Llave Privada

Usado para encriptar

mensajes, verificación Usado para firmar digitalmente,
de Firmas decodificación de mensajes

A
B

B 2. El la encripta con la A 4.Ella verifica la firma de Bob

Llave Pública de Alice con la Llave Pública de Bob

1. Bob escribe una carta a Alice 3. Alice recibe la carta encriptada. Y

la firma con su Llave Privada la decodifica con su Llave Privada
Autoridad Certificadora

Una Autoridad Certificadora (CA) es una entidad de confianza cuya

principal función es la de certificar la autenticidad de los usuarios.

Los Certificados Digitales son emitidos y firmados por la Autoridad

Certificadora y actúan como prueba de que la llave pública correcta este
asociada a un usuario.

De esta forma a través de la confianza de una tercera parte, el que

confía en la Autoridad Certificadora, confía también en la llave del
usuario
Certificado Digital

Certificado

Un Certificado es un objeto que contiene (entre otras cosas):

●
Información, en formato estándard de la industria, detallando
la identidad de la persona.

●
Una llave pública asociada exclusivamente a esta persona.
Certificado Raíz
• El Certificado Raíz (root certificate) es el
certificado digital que utiliza una CA para
firmar los certificados digitales que emite.
• ¿Quién firma el Certificado Raíz? Otra entidad
de certificación de mayor jerarquía y confianza
o es autofirmado.
• El Certificado Raíz de la CA es público para
que pueda ser instalado en los clientes como
certificado aceptado y se publica en un
repositorio LDAP.
Usos de los Certificados
Digitales
• Autenticación de usuarios
• Identificación de Procesos y
Computadoras
• Encriptación de Comunicaciones
• Encriptación de Servicios
Primer efecto Potenciador: Base
para ... Herramientas de Seguridad

Firewalls
Proxy
Control de Acceso
Administración Centralizada
Identificación
Detectores de Intrusos
Backups
Certificados Administración
Digitales
Aplicaciones Diversas

Wireless
Servidor y Servicios Web
Telnet Encriptado
FTP Encriptado
Correo firmado y Encriptado
Administración
Problemas Iniciales
• Tecnología muy nueva
• Estándares muy recientes
• Implementación difícil
• Falta de aplicaciones para facilitar su dificil
administración
• Problemas de escalamiento en su arquitectura inicial
• Confusión entre Autenticacion y Autorizacion
• La Autenticacion esta ligada al Certificado ( pensado
para perdurar ). La Autorizacion es mas dinamica.
Autenticacion vs Autorizacion
Certificado Digital Certificado de Atributo
Autenticación Autorización
Identidad Personal Atributos Socio-
económicos.
Características Permanentes Atributos Cambiantes

PKI PMI

Es mejor por éste motivo SEPARAR ambos

mecanismos tanto como sea posible
Nuevas Funcionalidades
• Unión de dos fuerzas para las tareas de Autenticación y
Autorización.
• Una parte (PKI) rígida, muy segura que provee la
seguridad mediante una fuerte encriptación dedicada a
la autenticación.
• La otra parte (PMI) flexible, que provee la funcionalidad
flexible y cambiante de los privilegios dedicada a la
autorización.
• Las dos partes relacionadas y trabajando en conjunto
en un ambiente distribuído, fácil de administrar y
altamente escalable. Cualquier cambio en un atributo
esta disponible inmediatamente para las partes
interesadas.
Certificado de Atributo
• Técnicas de Autorización
– Basado en la Identidad.
El servidor tiene una lista de recursos y personas
autorizadas.
– Basado en la Capacidad.
El cliente tiene una credencial (un certificado) que
le da el poder de accesar un recurso determinado.
• El Certificado de Atributo.
Es el mecanismo electrónico que actua como
credencial para que una persona identificada pueda
accesar un recurso determinado.
Aplicaciones
• Manejo de Documentos y Formularios electrónicos
con valor legal y económico.
• Servicios Notariales Digitales.
• Agentes con servicios electrónicos certificados, como
el transporte de correos o archivos notariados..
• Servicios Web que requieren una fuerte identificación
y autorización o certificación inmediata.
• En general aplicaciones aún no totalmente
delineadas para Gobierno electrónico y donde se
interconectan una cantidad importante de usuarios.