Seguridad en el E-commerce Ing. Wilson Ortega Universidad del Cauca Electiva: Comercio electrónico

Aspectos generales La seguridad en un ambiente de comercio electrónico involucra: Privacidad Las transacciones no pueden ser visualizadas por personas ajenas Integridad Los datos no deben ser alterados No repudio Quien genera la transacción no la puede negar y debe hacerse responsable de ella

Aspectos generales Autenticación Facilidad Quienes intervienen en la transacción son usuarios válidos Facilidad Quienes hacen la transacción no tienen dificultades

La identidad En una transacción física la identidad del comprador puede ser probada mediante un documento y la del vendedor mediante sus comprobantes de venta. En una transacción electrónica se da el anonimato y la posibilidad de presentarse bajo una identidad falsa.

La identidad El vendedor se puede preguntar si el propietario de esa dirección de correo es quien dice ser y por tanto el titular de la tarjeta de crédito El comprador se puede preguntar si el sitio Web que está visitando es el real o simplemente es una trampa para robar su información.

Certificados digitales La solución propuesta para resolver estos interrogantes es el uso de certificados digitales emitidos por una entidad certificadora. Por ejemplo Verisign.com Mediante el certificado digital se asegura que el vendedor y comprador sean auténticos.

Certificados digitales Un certificado contiene la siguiente información: Dominio para el que se expidió Dueño del Certificado Domicilio del Dueño Y la fecha de validez del mismo.

Certificados digitales

Certificados digitales

Certificados digitales Quien emite los certificados? ACE (Agencia de certificación Electrónica) Emite los certificados una vez los datos hayan sido verificados por la autoridad de registro Verisign Suministra servicios de seguridad electrónica en Internet. Telefónica Data Entidad de certificación que gestiona y valida las solicitudes de certificados con base en determinados procedimientos de identificación.

Protocolos Contribuyen a asegurar la integridad y confidencialidad de la información transmitida Los dos protocolos estándar de seguridad son el SSL y el SET Se puede comprobar que se está usando un protocolo de seguridad ya que en la URL aparece https.

Protocolos -SSL Secure Sockets layer –SSL Protocolo de propósito general para establecer comunicaciones seguras. Propuesto en el año de 1994 por Netscape Communications Corporation Es la solución de seguridad implantada en la mayoría de servidores que brindan aplicaciones de e-commerce

Protocolos -SSL Descuida aspectos clave como: Solo protege transacciones entre dos puntos. Una compra con tarjeta de crédito involucra tres partes. No protege al comprador del riesgo de que un comerciante utilice su tarjeta ilícitamente. Los comerciantes corren el riesgo de que la tarjeta sea fraudulenta o no haya sido aprobada.

Protocolos - SET Secure Electronic Transaction Desarrollado en el año de 1995 por Visa y Mastercard con el apoyo de Microsoft, IBM y Netscape. Ofrece autenticación en todas las partes implicadas en la transacción Confidencialidad e integridad gracias a técnicas criptográficas robustas.

Protocolos - SET Impide que el vendedor pueda acceder a datos relacionados con el pago (evitando posibles fraudes) Impide que el banco acceda a información de los pedidos. Gestión del pago que permite gestionar tareas relacionadas a la actividad comercial como registro del titular, liquidaciones y autorizaciones pagos, anulaciones, etc.

Protocolos - SET SET ha tenido un despliegue muy lento Requiere software especial en el comprador y en el vendedor Problemas de compatibilidad entre productos

Firma digital Contrario a lo que su nombre sugiere no se trata de una firma convencional digitalizada a través de un escáner, sino de un algoritmo matemático, un valor numérico codificado. En Colombia está conformado por 1024 bits.

Firma digital Crea un mecanismo que requiere de dos llaves: Una privada y secreta, que guarda la persona que firma digitalmente, y otra pública asociada, que se les entrega a todos los interesados y es avalada por la entidad certificadora. Con la llave pública, adherida al final, el iniciador o remitente envía el documento digital o mensaje de datos (correo electrónico, por ejemplo), el cual solo podrá ser abierto o leído por el destinatario con su llave privada.

Firma digital Las llaves pública y privada son complementarias. A una llave pública corresponde una privada y viceversa. El sistema se encarga de hacer la conjugación entre las dos llaves. No hay posibilidad matemática, computacional, ni método para derivar una llave a partir de la otra