Tema 2 – Implantación de mecanismos de seguridad activa Punto 2 – Seguridad en la conexión de redes públicas Juan Luis Cano

Técnicas de cifrado El cifrado es un método que permite aumentar la seguridad de un mensaje o de un archivo mediante la codificación del contenido, de manera que sólo pueda leerlo la persona que cuente con la clave de cifrado adecuada para descodificarlo.

Criptografía simétrica La criptografía simétrica es un método criptográfico en el cual se usa una misma clave para cifrar y descifrar mensajes. Las dos partes que se comunican han de ponerse de acuerdo de antemano sobre la clave a usar. Una vez ambas tienen acceso a esta clave, el remitente cifra un mensaje usándola, lo envía al destinatario, y éste lo descifra con la misma.

Funcionamiento Un buen sistema de cifrado pone toda la seguridad en la clave y ninguna en el algoritmo. En otras palabras, no debería ser de ninguna ayuda para un atacante conocer el algoritmo que se está usando. Sólo si el atacante obtuviera la clave, le serviría conocer el algoritmo.

Problemas de implementación El principal problema con los sistemas de cifrado simétrico no está ligado a su seguridad, sino al intercambio de claves. Una vez que el remitente y el destinatario hayan intercambiado las claves pueden usarlas para comunicarse con seguridad, pero ¿qué canal de comunicación que sea seguro han usado para transmitirse las claves? Sería mucho más fácil para un atacante intentar interceptar una clave que probar las posibles combinaciones del espacio de claves. Otro problema es el número de claves que se necesitan. Si tenemos un número “n” de personas que necesitan comunicarse entre sí, se necesitan n/2 claves para cada pareja de personas que tengan que comunicarse de modo privado.

Criptografía asimétrica La criptografía asimétrica es el método criptográfico que usa un par de claves para el envío de mensajes. Las dos claves pertenecen a la misma persona que ha enviado el mensaje. Una clave es pública y se puede entregar a cualquier persona, siendo la otra clave privada. Además, los métodos criptográficos garantizan que esa pareja de claves sólo se puede generar una vez.

Encriptación Si el remitente usa la clave pública del destinatario para cifrar el mensaje, una vez cifrado, sólo la clave privada del destinatario podrá descifrar este mensaje, ya que es el único que la conoce. Por tanto se logra la confidencialidad del envío del mensaje. En cambio, si es el propietario del par de claves el que usa su clave privada para cifrar el mensaje, cualquiera puede descifrarlo utilizando su clave pública. Esta idea es el fundamento de la firma electrónica.

Funcionamiento

Ventajas e Inconvenientes La mayor ventaja de la criptografía asimétrica es que se puede cifrar con una clave y descifrar con la otra, pero este sistema tiene bastantes desventajas, entre las que se incluyen: Para una misma longitud de clave y mensaje se necesita mayor tiempo de proceso. Las claves deben ser de mayor tamaño que las simétricas. El mensaje cifrado ocupa más espacio que el original.

Criptografía híbrida La criptografía híbrida es un método criptográfico que usa tanto un cifrado simétrico como un asimétrico. Emplea el cifrado de clave pública para compartir una clave para el cifrado simétrico. El mensaje que se esté enviando en el momento, se cifra usando la clave y enviándolo al destinatario. Ya que compartir una clave simétrica no es seguro, la clave usada es diferente para cada sesión.

Funcionamiento La clave de sesión es cifrada con la clave pública, y el mensaje saliente es cifrado con la clave simétrica, todo combinado automáticamente en un sólo paquete. El destinatario usa su clave privada para descifrar la clave de sesión y acto seguido usa la clave de sesión para descifrar el mensaje.

Identificación Digital Es la verificación de la identidad en línea. Se encuentra dentro de la teoría de la Web 2.0 y se trata de ofrecer la autenticación y la confidencialidad, protegiendo documentos de falsificaciones y manipulaciones. Este sistema ya está operativo con diversas aplicaciones en funcionamiento y numerosos organismos en fase de incorporación al sistema.

Firma electrónica y firma digital En los últimos años ha surgido una nueva forma de proteger los documentos y de acreditar que la información es transmitida por esa persona. Para lograr esto se han creado los sistemas de digitalización de la firma. De esta manera la firma será única y representará exclusivamente a la persona que ha creado o modificado un archivo.

Digitalización de la firma Una Firma Digitalizada se trata de una simple representación gráfica de la firma manuscrita obtenida a través de un escáner, que puede ser “pegada” en cualquier documento. Esta técnica la empezaron a utilizar masivamente los expertos en Márketing cuando la publicidad circulaba por correo postal ordinario (Snail mail)

Firma digital Una firma digital es un esquema matemático que sirve para demostrar la autenticidad de un mensaje digital o de un documento electrónico. Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otras áreas donde es importante detectar la falsificación y la manipulación.

Firma electrónica La firma electrónica es una firma digital que se ha almacenado en un soporte de hardware; mientras que la firma digital se puede almacenar tanto en soportes de hardware como de software. La firma electrónica reconocida tiene el mismo valor legal que la firma manuscrita. De hecho se podría decir que una firma electrónica es una firma digital contenida o almacenada en un contenedor electrónico, normalmente un chip de ROM. Su principal característica diferenciadora con la firma digital es su cualidad de ser inmodificable.

Certificado Digital y Autoridad Certificadora El método de firma electrónica y digital no tendría sentido si no hubiese ningún método de certificar que dicha firma pertenece a la persona que debería. Para ello se creó el certificado digital y la CA (Autoridad certificadora).

Certificado Digital Un certificado digital (también conocido como certificado de identidad) es un documento digital mediante el cual un tercero confiable (una autoridad de certificación) garantiza la vinculación entre la identidad de un sujeto o entidad y una clave pública.

Autoridad Certificadora Una Autoridad Certificadora (AC, en inglés CA) es una entidad de confianza del emisor y del receptor de una comunicación. Esta confianza de ambos en una 'tercera parte confiable' (trusted third party) permite que cualquiera de los dos confíe a su vez en los documentos firmados por la Autoridad Certificadora, en particular, en los certificados que identifican ambos extremos.

DNI electrónico El Estado Español ha aprobado un conjunto de medidas legislativas, como la Ley de Firma Electrónica y el RD sobre el Documento Nacional de Identidad Electrónico, para la creación de documentos electrónicos y para la realización de transacciones electrónicas que tengan asegurados su procedencia y la integridad de los mismos. El DNIe es la digitalización del DNI español, que ofrece las ventajas de poder realizar múltiples gestiones de forma segura a través de medios telemáticos y asegurando la identidad de los participantes en la comunicación.

Uso del Certificado Digital Un Usuario que tenga su certificado electrónico puede realizar todo tipo de trámites de forma que queda garantizada su verdadera identidad. Por lo tanto, se pueden firmar electrónicamente formularios y documentos electrónicos con la misma validez jurídica que si firmara el mismo documento en papel. De esta forma se puede realizar todo tipo de gestiones a través de la red, tal como compras, transacciones bancarias, pagos, etc.

Funcionamiento del certificado digital Ahora se muestra un esquema con la forma en la que se envía un certificado digital, utilizando la unidad certificadora.

Punto 3 – Seguridad en la red corporativa