Seguridad Informática WALC 2002

¿ Que es seguridad informática? Seguridad Informática es el conjunto de reglas, planes y acciones que permiten asegurar la información contenida en un sistema computacional. Seguridad Informática es el conjunto de reglas, planes y acciones que permiten asegurar la información contenida en un sistema computacional. Seguridad informática es un conjunto de soluciones técnicas a problemas no técnicos. Seguridad informática es un conjunto de soluciones técnicas a problemas no técnicos.

Areas que cubre la seguridad informática Políticas de Seguridad Políticas de Seguridad Seguridad Física Seguridad Física Autentificación Autentificación Integridad Integridad Confidencialidad Confidencialidad Control de Acceso Control de Acceso Auditoría Auditoría

¿ Qué son las políticas de seguridad? Son las reglas y procedimientos que regulan la forma en que una organización previene, protege y maneja los riesgos de daño sobre: Son las reglas y procedimientos que regulan la forma en que una organización previene, protege y maneja los riesgos de daño sobre:  los computadores de sus sistemas y los elementos físicos asociados con éstos (edificación, impresoras, discos, cables, dispositivos de interconexión, etc.),  el software y la información almacenada en tales sistemas.  los usuarios del sistema

Objetivos de las políticas de seguridad Informar al mayor nivel de detalle a los usuarios, empleados y gerentes de las normas y mecanismos que deben cumplir y utilizar para proteger los componentes de los sistemas de la organización. Informar al mayor nivel de detalle a los usuarios, empleados y gerentes de las normas y mecanismos que deben cumplir y utilizar para proteger los componentes de los sistemas de la organización. Proporcionar los criterios para adquirir, configurar y auditar los sistemas de computación y redes para que estén en concordancia con la política de seguridad. Proporcionar los criterios para adquirir, configurar y auditar los sistemas de computación y redes para que estén en concordancia con la política de seguridad.

Componentes de una política de seguridad Una política de privacidad Una política de privacidad Una política de acceso Una política de acceso Una política de autenticación Una política de autenticación Una política de contabilidad Una política de contabilidad Planes para satisfacer las expectativas de disponibilidad de los recursos del sistema Planes para satisfacer las expectativas de disponibilidad de los recursos del sistema Una política de mantenimiento para la red y los sistemas de la organización Una política de mantenimiento para la red y los sistemas de la organización Directrices para adquirir tecnología con rasgos de seguridad requeridos y/o deseables. Directrices para adquirir tecnología con rasgos de seguridad requeridos y/o deseables. Sanciones para quien infrinjan la política de seguridad Sanciones para quien infrinjan la política de seguridad Una política de reporte de incidentes y de divulgación de información Una política de reporte de incidentes y de divulgación de información

Recuerde siempre que:  Tanto la política de seguridad, como las prácticas que está implique, son problema de todos en la organización.  Una efectiva seguridad informática significa protección de la Información.

Todos los caminos conducen a... Integridad Control de Acceso Confidencialidad Autentificación CRIPTOGRAFÍA

Que es la criptografía ? La criptografía es el arte de cambiar algún parámetro de un elemento para protegerlo de la intromisión pasiva o activa La criptografía es el arte de cambiar algún parámetro de un elemento para protegerlo de la intromisión pasiva o activa Protegerlo significa: Protegerlo significa:  Que alguien no autorizado lo haya leido  Que alguien no autorizado lo haya cambiado  Que estemos seguros del remitente Un elemento significa: Un elemento significa:  Un mensaje  Un archivo  Un servicio

Criptografía Cifrador E Clave de Cifrado K Texto Cifrado C=E k (P) este es un texto plano laste st ueno extoe pn Texto Plano P Para Descifrar: D k (E k (P))=P

Tipos de Algoritmos de Cifrado Cifrado de Clave Simétrica (o de clave privada) RED Cifrador Descifra dor CLAVE ÚNICA Pero: ¿Cómo transferimos la clave? $TG 5e

Tipos de Algoritmos de Cifrado Cifrado de Clave Asimétrica (o de clave pública) RED Cifrador Descifrador CLAVES DIFERENTES $TG 5e

Cifrado Simétrico: DES Transposición Inicial Iteración 1 Iteración 2 … Iteración 16 C LA V E DE S E S I Ó N Intercambio de 32 bits Transposición Inversa 64bits de texto plano 64 bits de texto cifrado L i-1  ( (R i-1,K) L i-1 R i-1 32 bits L i-1 32 bits R i-1

Algorítmos de Clave Asimétrica

Mas sobre las claves El sistema funciona con un par de claves, una para cifrar y otra para descifrar El sistema funciona con un par de claves, una para cifrar y otra para descifrar Una clave es secreta y nunca es transmitida Una clave es secreta y nunca es transmitida La otra clave es pública y puede ser difundida por la red sin peligro La otra clave es pública y puede ser difundida por la red sin peligro Si un documento es cifrado con una clave solo puede ser descifrado correctamente con su pareja Si un documento es cifrado con una clave solo puede ser descifrado correctamente con su pareja Si un documento puede ser descifrado satisfactoriamente con una clave solo puede haber sido cifrado con su pareja Si un documento puede ser descifrado satisfactoriamente con una clave solo puede haber sido cifrado con su pareja

Un ejemplo José desea enviar un mensaje cifrado a María José: Cifra el mensaje con la clave pública de María. María: Descifra el mensaje utilizando su clave privada Pedro quiere también enterarse Pedro tiene: Su clave privada,no le sirve La clave pública de José, no le sirve La clave pública de María, no le sirve La clave pública de cualquiera, no le sirve Por lo tanto: Pedro se queda con las ganas

Hasta el momento Maria sabe: Que si protegió correctamente su clave privada nadie puede haber leido el mensaje Que si protegió correctamente su clave privada nadie puede haber leido el mensaje Pero no sabe: Pero no sabe:  Si alguien cambío el mensaje  Si el remitente no es quien dice ser

Hash Función Hash Mensaje nú m er o ha sh Una función hash toma una cadena de entrada,de longitud no definida, y produce un número de salida que es función de la entrada y cuyo tamaño es fijo.

Más sobre funciones hash  El algoritmo es de una sola v í a, es decir, es muy dif í cil obtener el mensaje de entrada teniendo el n ú mero de salida de la funci ó n.  Un peque ñ o cambio en el mensaje de entrada ( incluso de un s ó lo bit) produce un n ú mero hash totalmente diferente. + Un bit de la salida es producto de las caracter í sticas de varios bits de la entrada, por lo tanto se hace dif í cil encontrar patrones estad í sticos del texto original.

Funciones HASH Imaginemos ahora que calculamos el hash de un documento y luego lo ciframos, utilizando un algoritmo de clave asimétrica con nuestra clave privada. Ahora trasmitimos el mensaje original y el hash cifrado. Quien reciba nuestro mensaje si descifra el hash, calcula el hash del mensaje recibido y obtiene el mismo número puede obtener buenas noticias: Imaginemos ahora que calculamos el hash de un documento y luego lo ciframos, utilizando un algoritmo de clave asimétrica con nuestra clave privada. Ahora trasmitimos el mensaje original y el hash cifrado. Quien reciba nuestro mensaje si descifra el hash, calcula el hash del mensaje recibido y obtiene el mismo número puede obtener buenas noticias:  El mensaje original no ha sido cambiado, de lo contrario el hash calculado por él no puede ser igual al incluido en el mensaje original.  El origen del mensaje es correcto pues de lo contrario el hash descifrado no puede ser igual al calculado por él.

Esquema General Documento Plano E K1K1 Documento Cifrado HASH K priv Remitente HASH CIFRADO + RED Documento Cifrado D Documento Plano HASH K2K2 Calculado HASH K pub Remitente HASH Son iguales?

A estas alturas… ¿De donde obtener la clave pública de un usuario? ¿De donde obtener la clave pública de un usuario? ¿Como hacer para que todos sepan mi clave pública? ¿Como hacer para que todos sepan mi clave pública? ¿Como sé si la clave pública que tengo de un usuario es realmente la suya? ¿Como sé si la clave pública que tengo de un usuario es realmente la suya? ¿Como me entero si un usuario ha visto comprometida su clave privada y por lo tanto necesita generar un par de claves nuevas ? ¿Como me entero si un usuario ha visto comprometida su clave privada y por lo tanto necesita generar un par de claves nuevas ?

Para que son los certificados Un certificado, sea digital o no, es un elemento que valida algún elemento de su propietario. Un certificado, sea digital o no, es un elemento que valida algún elemento de su propietario. El elemento a certificar puede ser: El elemento a certificar puede ser: La identidad La identidad Un permiso para acceder a un servicio Un permiso para acceder a un servicio Alguna propiedad Alguna propiedad

Infraestructura de Clave Pública Autoridad de Certificación 1)José genera su pareja de claves Pública/Secreta 2) Envía su clave pública a la CA 3)Autoridad de Certificación emite el certificado digital de José 5) El resto del mundo puede solicitar el certificado emitido por la CA 4) El resto del mundo solicita el certificado de José

Un certificado X.509 v3 Versión Número de Serie Algoritmo Identificador -Algoritmo-Parámetros CA emisora Período de validez: -No antes de -No despúes de Clave Pública AlgoritmoParámetros Clave pública Firma

Y... Se acabó el tiempo