Información recopilada por Rodrigo López.

Presentación del tema: "Información recopilada por Rodrigo López."— Transcripción de la presentación:

1 Información recopilada por Rodrigo López.
Todas las empresas están perfectamente preparadas para afrontar con éxito un desastre en el sistema de información… la segunda vez que lo sufren. Seguridad en los Sistemas Basados en Internet Hablar de seguridad en Internet es como hablar de si nuestro coche esta seguro en la calle con las llaves puestas en la cerradura. Información recopilada por Rodrigo López.

2 La autopista de la información
Internet La autopista de la información El protocolo de comunicaciones de Internet TCP/IP es quizás, el protocolo menos seguro de cuantos existen, pero éste es el estándar y por ello los Hackers desarrollan continuamente herramientas capaces de monitorizar la secuencia de datos y paquetes TCP/IP.

3 Conceptos Claves IP: Cada ordenador de Internet viene identificado por un número, que se denomina IP. Por ejemplo es el IP de un ordenador que se encuentra en un campus de la UBB de Chillan. DNS: Como estos números son difíciles de recordar, se utiliza otro sistema equivalente, llamado Domain Name System (DNS) que es una base de datos con los nombres de los equipos. Por ejemplo, al IP anterior le corresponde el DNS siguiente: pehuen.face.ubiobio.cl. Es una base de datos jerarquizada, en la que cada país tiene su indicativo, por ejemplo Chile (cl). Dentro de cada país en el siguiente nivel jerárquico está la empresa o administración.

4 Conceptos Claves URL o "direcciones de Internet”: para acceder a cualquier servicio Internet es necesario indicar su URL (Uniform Resource Locator). La estructura es la siguiente: “protocolo://IP del ordenador o DNS/ruta de acceso al fichero/fichero”. Los protocolos a utilizar pueden ser cualquiera de los siguientes: HTTP: Protocolo de hipertexto o WWW FTP: Transferencia de ficheros TELNET: Terminal remoto NEWS: Acceso a boletín de noticias MAILTO: Correo electrónico

5 Conceptos Claves http://kiyen.face.ubiobio.cl/~rgacitua/index.html
Luego se especifica el ordenador, directorio y nombre de archivo. Un ejemplo de un URL puede ser: Protocolo Dirección máquina Directorio Archivo

6 Conceptos Claves WWW: "World Wide Web” es una de las Herramientas Internet más potentes y de mayor difusión en estos últimos años. Significa "gran telaraña mundial". Básicamente el WWW es un sistema distribuido de hipertexto y multimedial. Distribuido: significa que la información que puede obtenerse a través del WWW puede encontrarse físicamente en cualquier computadora del mundo. Hipertexto: es un documento o texto en el cual determinadas palabras o frases derivan a un nuevo documento relacionado. Multimedial: significa "Múltiples medios”. La información obtenida por el WWW puede ser desde un archivo texto o gráfico, hasta archivos de sonido, video y animaciones.

7 Conceptos Claves HTML (HyperText Markup Language): es un lenguaje sencillo que permite describir hipertexto presentado de forma estructurada y agradable, con enlaces (hyperlinks) que conducen a otros documentos o fuentes de información relacionadas, y con inserciones multimedia (gráficos, sonido, etc.). Un archivo HTML es “interpretado” por un programa el cual se encarga de presentarlo en pantalla como es debido. Esta basado en el SGML ( Standard Generalized Markup Language).

8 Funcionamiento de la WWW Breve descripción

9 Funcionamiento TCP/IP: Este protocolo de comunicaciones es el mas extendido y permite que todos los ordenadores del mundo mantengan comunicaciones y se “ entiendan “ entre si. Servidores: El cable que sale del ordenador-cliente no va directamente a Estados Unidos o Francia, por ello los servidores otorgan un servicio que permite la conmutación a estas zonas geográficas. Grandes CPU al servicio de una cartera de clientes a los cuales se les sirve en direcciones electrónicas para correo, o un espacio para nuestra WEB, además de los servicios FTP o CHAT, etc. HTTP: significa HyperText Transfer Protocol y es el protocolo que los servidores de World Wide Web utilizan para enviar documentos HTML por Internet.

10 Funcionamiento DD TCP/IP Srv Maq. Servidora Maq. Cliente 1
Proceso Cliente Otros procesos P1 P2 Proceso Servidor

11 ¿ Comprar o no Comprar ? Ese es el dilema

12 Riesgos Panorama general:
La seguridad en las comunicaciones afecta al comercio electrónico. Los consumidores necesitan tener garantías de que las compras que hagan van a ser seguras, y también los vendedores deben saber que van a cobrar y que los mensajes no van a ser interceptados. Se debe: I.- Estudiar los posibles riesgos y medidas de seguridad II.- Estudiar los aspectos de seguridad en el comercio electrónico

13 Riesgos ... y medidas de seguridad Análisis de riesgos
Realizar un análisis de riesgos es el primer paso que debe darse para conseguir la seguridad adecuada. Permite detectar los puntos débiles sobre los que aplica o reforzar medidas de seguridad. Medidas de seguridad activa Las medidas de seguridad activa son aquellas cuyo objetivo es anular o reducir los riesgos existentes o sus consecuencias para el sistema.

14 Riesgos ... y medidas de seguridad Medidas de seguridad pasiva
Las medidas de seguridad pasiva están destinadas a estar preparado si llega a producirse el desastre. En un símil automovilístico, que el coche disponga de unos buenos frenos, -por ejemplo, con ABS- es una medida de seguridad activa. Pero si ocurre un accidente, llevar puesto el cinturón de seguridad o airbag es una medida de seguridad pasiva.

15 Riesgos ... y medidas de seguridad Auditoría informática
Para verificar si se están aplicando as medidas de control más apropiadas para la salvaguarda e integridad de la información y de los sistemas en prevención de riesgos de fraude, pérdida, manipulación, fallos de servicio, etc. El papel de la Auditoría Informática es muy importante. La auditoría informática consiste en una revisión de la efectividad de los controles en torno a los elementos que conforman el apoyo de una empresa mediante tecnologías de información.

16 Riesgos ... y medidas de seguridad Principales Riesgos
1) errores humanos 2) fallos de los equipos 3) robo de la información o equipos 4) virus 5) sabotaje 6) fraude 7) desastres naturales

17 Riesgos ... y medidas de seguridad Se analizarán solamente:
1) Errores Humanos. Medidas de seguridad: Buena formación y capacitación. Asignación decuada los permisos de acceso a los ficheros y directorios o proteger contra escritura los discos en que no se necesite grabar nada. 3) Robo de la información. Autentificación de usuarios, mediante uso de claves, etc. Asignación de permisos.

18 Riesgos ... y medidas de seguridad Cifrado de datos.
Mantener registros de auditoría. Instalación de cortafuegos. 4) Virus Medidas de seguridad: Control sobre los programas introducidos. Evitar arrancar desde disquete. Instalar antivirus. Hacer copias de seguridad.

19 Riesgos ... y medidas de seguridad 5) Sabotaje Medidas de Seguridad:
Igual al punto 1 y 3. 6) Fraude Autentificar la información mediante firmas digitales.

20 Seguridad Cifrado de Datos ... algunos aspectos Tipos de encriptación
Proceso mediante el cual se transforma un mensaje( usando una clave o algoritmo), es decir, un medio de traducir los signos de un mensaje a otro sistema de signos cuya lectura no tenga ningún sentido para un desconocido que los intercepte. Tipos de encriptación Sistemas de clave única (simétrica) Sistemas de clave pública (asimétrica) Muy Importante

21 Seguridad Claves públicas
Se dispone de una aplicación, que incluye el algoritmo RSA (Rivest-Shamir-Adleman), y que nos proporciona dos claves personales: una que se denomina privada y otra pública. Nosotros enviamos a alguien nuestra clave pública. En realidad como es pública esta accesible para todo el mundo en servidores como el de Rediris ( Con mi clave publica, una persona codifica el mensaje y me lo envía. El mensaje solo se puede descifrar con mi clave privada (sólo yo la poseo). El que desee descifrar el mensaje necesitará el auxilio de superodenadores, tiempo suficiente y algo de buena suerte.

22 Internet RSA RSA Emisor Receptor
Usa clave Pública del Receptor para cifrar Usa su clave Privada p/descifrar RSA RSA Receptor Ejemplo de utilización de criptografía asimétrica. Este tipo de criptografía se utiliza para implementar sistemas de autenticación y firmas digitales. Esto se logra haciendo un pequeño cambio en la aplicación de las claves.

23 Seguridad Autenticación
Es aplicación de los sistemas de clave pública. El objetivo es enviar un documento, y poder demostrar quien lo ha enviado. Quien envía el mensaje lo codifica con su clave privada. Para descifrarlo, sólo puede hacerse con la clave pública correspondiente a dicha persona o institución. Si efectivamente con dicha clave se descifra es señal de que quien dice que envió el mensaje, realmente lo hizo.

24 Internet RSA RSA Emisor Receptor Ejemplo de Autenticación.
Clave Privada del Emisor Clave Pública del Emisor RSA RSA Receptor Ejemplo de Autenticación. La Firma digital utiliza este mismo sistema, pero se codifica un resumen del mensaje, el cual se adjunta al mensaje original. El resumen encriptado es la firma digital.

25 Seguridad Seguridad en el comercio electrónico
Objetivos: garantizar que los mensajes llegan a su destino y mantener la confidencialidad de los mismos. Riesgos: que el comprador reciba el bien y no pague, que el vendedor sea fraudulento o que haya terceros que se queden con el dinero o los artículos. La seguridad para el comprador depende de la forma de pago. Formas: Correo electrónico. Encriptar el mensaje con un programa como el PGP ( Pretty Good Privacy, ) que utiliza algoritmos de encriptación basados en claves públicas, como el RSA.

26 Seguridad Servidores Seguros
El sistema SSL es el mas utilizado en las tiendas virtuales. Funciona encriptando los datos que el comprador envía (datos del pedido, número de tarjeta de crédito, etc.) mediante el sistema de cifrado RSA cuando está ubicado en una zona segura de un navegador. El programa navegador encripta los datos de forma que aunque alguien consiga apropiarse de ella, no podrá leerlos ya que no dispone de la clave necesaria. Cada vez que un usuario se conecta a un servidor seguro, éste se encarga de generar una clave para la sesión que está estableciendo con el usuario, mientras que el navegador del cliente genera otra clave, igualmente aleatoria, que le sirve para identificarse ante el servidor.

27 Seguridad Entidad certificadora http://www.feste.org/
Concede un certificado después de haber controlado la correcta configuración del proceso de encriptación (SSL) y haber comprobado los datos de la empresa solicitante. El certificado de servidor seguro se concede a entidades cuyas referencias han sido comprobadas, para asegurar que efectivamente quien recibe los datos encriptados es quien debe de recibirlos. Una Entidad de Certificación: garantiza la identidad de los interlocutores mediante la emisión de certificados permite la firma electrónica y el intercambio de claves de cifrado.

28 Seguridad Pagos con sistema SET
Visa y Mastercard han desarrollado conjuntamente el sistema SET (Secure Electronic Transaction), que se basa en la firma digital. Intervienen el comprador, el vendedor, el banco emisor, el receptor y la entidad emisora de la tarjeta, todos ellos con firmas digitales. Con este sistema se garantiza que tanto el que compra, como el que vende o los bancos son quienes realmente dicen que son y, además, los datos de la tarjeta están codificados.

29 Common Gateway Interface
CGI Pequeño ejemplo de comunicación de datos a través de WWW, usando CGI. Registro de clientes por medio de la WWW Acceso a la BD de clientes por medio de WWW (Zona de Administrador)

30 CGI DD Srv Maq. Servidora Petición CGI Recursos encontrados CGI
Ps1 Petición DD Roro López CGI Bienvenidos a ... Srv Recursos encontrados CGI Browser Protocolo HTTP, bajo TCP/IP Pc1 Otros procesos Maq. Cliente Servidor

31 Conclusión Debido a que:
- Terceras personas pueden obtener acceso no permitido a los datos - Existencia de virus informáticos. Se debe velar porque existan controles (eficientes), para proteger la información perteneciente a la empresa y así evitar pérdidas, modificaciones, y robos de ésta. - Las transacciones en Internet son inseguras. Se deben auditar los procesos de seguridad sobre todo en las comunicaciones relacionadas con el comercio electrónico, en orden de asegurar la protección contra fraude, robo de información, y de cualquier acción de terceros que pueda resultar en daños ya sea para nuestro cliente como para nuestra propia empresa.

32 FIN Información recopilada por Rodrigo López.
Asignatura:Auditoría Informárica Prof: Sergio Bravo Silva.