Seguridad Informática

WALC 2002WALC 2002

¿ Que es seguridad informática?

Seguridad Informática es el conjunto de Seguridad Informática es el conjunto de reglas, planes y acciones que permiten reglas, planes y acciones que permiten asegurar la información contenida en un asegurar la información contenida en un sistema computacional.sistema computacional.

Seguridad informática es un conjunto Seguridad informática es un conjunto de soluciones técnicas a problemas no de soluciones técnicas a problemas no técnicos. técnicos.

Areas que cubre la seguridad informática PolíticasPolíticas de Seguridad de Seguridad Seguridad FísicaSeguridad Física AutentificaciónAutentificación IntegridadIntegridad ConfidencialidadConfidencialidad Control de AccesoControl de Acceso Auditoría Auditoría

¿ Qué son las políticas de seguridad? Son las reglas y procedimientos que regulan Son las reglas y procedimientos que regulan

la forma enla forma en que una organización previene, que una organización previene, protege y maneja losprotege y maneja los riesgos de daño sobre:riesgos de daño sobre:

los computadores de sus sistemas y los los computadores de sus sistemas y los elementoselementos físicos asociados con éstos físicos asociados con éstos (edificación, impresoras,(edificación, impresoras, discos, cables, discos, cables, dispositivos de interconexión, etc.),dispositivos de interconexión, etc.),

el software y la información el software y la información almacenada en talesalmacenada en tales sistemas.sistemas.

los usuarios del sistemalos usuarios del sistema

Objetivos de las políticas de seguridad Informar al mayor nivel de detalle a losInformar al mayor nivel de detalle a los

usuarios, empleados y gerentes de las usuarios, empleados y gerentes de las normas ynormas y mecanismos que deben cumplir mecanismos que deben cumplir y utilizar paray utilizar para proteger los componentes proteger los componentes de los sistemas de lade los sistemas de la organización.organización.

Proporcionar los criterios para adquirir,Proporcionar los criterios para adquirir, configurar y auditar los sistemas deconfigurar y auditar los sistemas de computación y redes para que estén encomputación y redes para que estén en concordancia con la política de seguridad.concordancia con la política de seguridad.

Componentes de una política de seguridad Una política de privacidadUna política de privacidad Una política de accesoUna política de acceso Una política de autenticaciónUna política de autenticación Una política de contabilidadUna política de contabilidad Planes para satisfacer las expectativas de disponibilidadPlanes para satisfacer las expectativas de disponibilidad

de los recursos del sistemade los recursos del sistema Una política de mantenimiento para la red y los Una política de mantenimiento para la red y los

sistemassistemas de la organizaciónde la organización Directrices para adquirir tecnología con rasgos deDirectrices para adquirir tecnología con rasgos de

sseeguridad requeridos y/o deseables.guridad requeridos y/o deseables. Sanciones para quien infrinjan la política de seguridadSanciones para quien infrinjan la política de seguridad Una política de reporte de incidentes y de divulgaciónUna política de reporte de incidentes y de divulgación

de informaciónde información

Recuerde siempre que:

Tanto la política de seguridad, como las Tanto la política de seguridad, como las prácticas que está implique, son problema prácticas que está implique, son problema de todos en la organización.de todos en la organización.

Una efectiva seguridad informática Una efectiva seguridad informática significa protección de la Información.significa protección de la Información.

Todos los caminos conducen a...

Integridad

Control de Acceso

Confidencialidad

Auten

tifica

ción

CRIPTOGRAFÍA

Que es la criptografía ? La criptografía es el arte de cambiar algún parámetro de un La criptografía es el arte de cambiar algún parámetro de un

elementoelemento para para protegerloprotegerlo de la intromisión de la intromisión pasiva o activa pasiva o activa Protegerlo significa:Protegerlo significa:

Que alguien no autorizado lo haya leidoQue alguien no autorizado lo haya leido Que alguien no autorizado lo haya cambiadoQue alguien no autorizado lo haya cambiado Que estemos seguros del remitenteQue estemos seguros del remitente

Un elemento significa:Un elemento significa: Un mensajeUn mensaje Un archivoUn archivo Un servicioUn servicio

Criptografía

Cifrador E

Clave de Cifrado K

Texto CifradoC=Ek (P)

este es un texto plano

laste st ueno extoe pn

Texto Plano P

Para Descifrar: Dk(Ek(P))=P

Tipos de Algoritmos de CifradoCifrado de Clave Simétrica (o de clave privada)

REDCifrador Descifra

dor

CLAVEÚNICA

Pero: ¿Cómo transferimos la clave?

$TG5e

$TG5e

Tipos de Algoritmos de CifradoCifrado de Clave Asimétrica (o de clave pública)

REDCifrador

Descifrador

CLAVESDIFERENTES

$TG5e

$TG5e

Cifrado Simétrico: DES

Transposición Inicial

Iteración 1

Iteración 2

…

Iteración 16

CLAVE

DE

SESIÓN

Intercambio de 32 bits

Transposición Inversa

64bits de texto plano

64 bits de texto cifrado

Li-1 ( (Ri-1,K)

Li-1 Ri-1

32 bits Li-1 32 bits Ri-1

Algorítmos de Clave Asimétrica

Mas sobre las claves El sistema funciona con un par de claves, una para cifrar y El sistema funciona con un par de claves, una para cifrar y

otra para descifrarotra para descifrar Una clave es secreta y nunca es transmitida Una clave es secreta y nunca es transmitida La otra clave es pública y puede ser difundida por la red La otra clave es pública y puede ser difundida por la red

sin peligrosin peligro Si un documento es cifrado con una clave solo puede ser Si un documento es cifrado con una clave solo puede ser

descifradodescifrado correctamente correctamente con su parejacon su pareja Si un documento puede ser descifrado satisfactoriamente Si un documento puede ser descifrado satisfactoriamente

con una clave solo puede haber sido cifrado con su parejacon una clave solo puede haber sido cifrado con su pareja

Un ejemploJosé desea enviar un mensaje cifrado a María

José:•Cifra el mensaje con la clave pública de María.María:•Descifra el mensaje utilizando su clave privada

Pedro quiere también enterarsePedro tiene:•Su clave privada,no le sirve •La clave pública de José, no le sirve•La clave pública de María, no le sirve•La clave pública de cualquiera, no le sirvePor lo tanto: Pedro se queda con las ganas

Hasta el momento Maria sabe:

Que si Que si proteprotegiógió correctamente su clave correctamente su clave privada nadie puede haber leido el mensajeprivada nadie puede haber leido el mensaje

Pero no sabe:Pero no sabe: Si alguien cambío el mensajeSi alguien cambío el mensaje Si el remitente no es quien dice serSi el remitente no es quien dice ser

Hash

Función Hash

Mensaje

número hash

Una función hash toma una cadena de entrada,de longitud no definida, y produce un número de salida que es función de la entrada y cuyo tamaño es fijo.

Más sobre funciones hash

El algoritmo es de una sola vía, es decir, es muy El algoritmo es de una sola vía, es decir, es muy difícil obtener el mensaje de entrada teniendo el difícil obtener el mensaje de entrada teniendo el número de salida de la función. número de salida de la función.

Un pequeño cambio en el mensaje de entrada Un pequeño cambio en el mensaje de entrada ( incluso de un sólo bit) produce un número ( incluso de un sólo bit) produce un número hashhash totalmente diferente.totalmente diferente.

Un bit de la salida es producto de las características Un bit de la salida es producto de las características de varios bits de la entrada, por lo tanto se hace de varios bits de la entrada, por lo tanto se hace difícil encontrar patrones estadísticos del texto difícil encontrar patrones estadísticos del texto originaloriginal . .

Funciones HASH Imaginemos ahora que calculamos el Imaginemos ahora que calculamos el hashhash de un de un

documento y luego lo ciframos, utilizando un algoritmo de documento y luego lo ciframos, utilizando un algoritmo de clave asimétrica con nuestra clave privada. Ahora clave asimétrica con nuestra clave privada. Ahora trasmitimos el mensaje original y el hash cifrado. Quien trasmitimos el mensaje original y el hash cifrado. Quien reciba nuestro mensaje si descifra el hash , calcula el reciba nuestro mensaje si descifra el hash , calcula el hash del mensaje recibido y obtiene el mismo número hash del mensaje recibido y obtiene el mismo número puede obtener buenas noticias:puede obtener buenas noticias: El mensaje original no ha sido cambiado, El mensaje original no ha sido cambiado,

de lo contrario el hash de lo contrario el hash calculadocalculado por él no por él no puede ser igual al incluido en el mensaje puede ser igual al incluido en el mensaje original.original.

El origen del mensaje es correcto pues de El origen del mensaje es correcto pues de lo contrario el hash lo contrario el hash descifradodescifrado no puede ser no puede ser igual al calculado por él.igual al calculado por él.

Esquema General

DocumentoPlano E

K1

DocumentoCifrado

HASH

Kpriv Remitente

HASH CIFRADO

+REDRED

DocumentoCifrado D

DocumentoPlano

HASH

K2 HASHCalculado

HASHK pub Remitente

HASH

Son iguales?

A estas alturas…

¿De donde obtener la clave pública de un usuario?¿De donde obtener la clave pública de un usuario? ¿Como hacer para que todos sepan mi clave ¿Como hacer para que todos sepan mi clave

pública?pública? ¿Como sé si la clave pública que tengo de un ¿Como sé si la clave pública que tengo de un

usuario es realmente la suya?usuario es realmente la suya? ¿Como me entero si un usuario ha visto ¿Como me entero si un usuario ha visto

comprometida su clave privada y por lo tanto comprometida su clave privada y por lo tanto necesita generar un par de claves nuevas ?necesita generar un par de claves nuevas ?

Para que son los certificados

Un certificado, sea digital o no, es un Un certificado, sea digital o no, es un elemento que valida algún elemento de su elemento que valida algún elemento de su propietario.propietario.

El elemento a certificar puede ser:El elemento a certificar puede ser: La identidadLa identidad Un permiso para acceder a un servicioUn permiso para acceder a un servicio Alguna propiedadAlguna propiedad

Infraestructura de Clave Pública

Autoridad de Certificación

1)José genera su parejade claves Pública/Secreta2) Envía su clave pública a la CA

3)Autoridad de Certificación emite el certificado digital de José

5)El resto del mundopuede solicitar el certificado emitido por la CA

4) El resto del mundosolicita el certificadode José

Un certificado X.509 v3VersiónVersión

Número de SerieNúmero de Serie

Algoritmo IdentificadorAlgoritmo Identificador-Algoritmo-Algoritmo

-Parámetros-Parámetros

CA emisoraCA emisora

Período de validez:Período de validez:-No antes de-No antes de

-No despúes de-No despúes de

Clave PúblicaClave PúblicaAlgoritmo Algoritmo

ParámetrosParámetros

Clave públicaClave pública

FirmaFirma

Y...

Se acabó el tiempoSe acabó el tiempo