Criptografía y Seguridad en Redes

Presentación del tema: "Criptografía y Seguridad en Redes"— Transcripción de la presentación:

1 Criptografía y Seguridad en Redes
Leobardo Hernández Laboratorio de Seguridad Informática Centro Tecnológico Aragón, UNAM VI Simposium Internacional de Computación, Sonora, Nov. 2006

2 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Agenda Información y sus estados Propiedades de Seguridad de la Información Servicios y Mecanismos de Seguridad Criptología Criptografía Criptoanálisis Esteganografía Seguridad en Redes Herramientas para Seguridad en Redes Comentarios y Conclusiones VI Simposium Internacional de Computación, Sonora, Nov. 2006

3 Información y sus estados
La información actual es digital Su manejo implica considerar estados: Adquisición Creación Almacenamiento Proceso (transformación, análisis, etc.) Transmisión VI Simposium Internacional de Computación, Sonora, Nov. 2006

4 Problemas en manejo de Información
Confiabilidad de las fuentes y de la información misma Integridad (verificación) Confidencialidad Disponibilidad Control de Acceso Autenticación de las partes No repudio VI Simposium Internacional de Computación, Sonora, Nov. 2006

5 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Más Problemas El canal es público Uso canales seguros nada fácil, práctico, ni barato Las fuentes pueden no ser compatibles ni confiables Los sistemas de análisis y toma de decisiones asumen lo contrario Los resultados y reportes pueden ser equivocados Las decisiones se toman a partir de esos resultados VI Simposium Internacional de Computación, Sonora, Nov. 2006

6 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Más Problemas Información más valiosa que el dinero Hay que protegerla No solo en almacenamiento y proceso También durante la transmisión Formas almacenamiento y proceso: dispositivos digitales Formas de transmisión: redes y sistemas distribuidos VI Simposium Internacional de Computación, Sonora, Nov. 2006

7 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Más Problemas Expuesta a ataques de todo tipo Nada fácil crear un modelo para estudiar la seguridad Redes heterogéneas de todos los tipos Plataformas, medios, SO’s, arquitecturas distintas La pesadilla: Internet Que hacer?? VI Simposium Internacional de Computación, Sonora, Nov. 2006

8 Seguridad de la Informacion
Técnicas, procedimientos, políticas y herramientas para proteger y resguardar información en medios y dispositivos electrónicos Proteger la información almacenada en los equipos y la que se transfiere e intercambia por canales públicos VI Simposium Internacional de Computación, Sonora, Nov. 2006

9 Seguridad de la Informacion
Proteger informacion de amenazas, ataques y vulnerabilidades reales y potenciales Garantizar propiedades de información en todos sus estados: creación, modificación, transmisión y almacenamiento Implementar servicios de seguridad usando mecanismos útiles y eficientes VI Simposium Internacional de Computación, Sonora, Nov. 2006

10 Servicios y Mecanismos de Seguridad
Naturaleza pública del canal no se puede cambiar Sobre ese canal hay que saber qué se quiere: Servicios de Seguridad Sobre ese canal hay que saber cómo se implementa (si se puede): Mecanismos de seguridad VI Simposium Internacional de Computación, Sonora, Nov. 2006

11 Servicios y Mecanismos de Seguridad
Servicios Mecanismos Confidencialidad Cifrado Integridad Funciones Hash Autenticación Protocolos Criptográfico Control de Acceso Esquemas de CA No Repudio Firma Digital Disponibilidad No se puede !! VI Simposium Internacional de Computación, Sonora, Nov. 2006

12 Seguridad Informática
Se deben implementar los 5 primeros servicios para disminuir el riesgo de sufrir indisponibilidad Los 5 primeros servicios se estandarizan en el ISO El Triángulo de Oro de la Seguridad incluye: Confidencialidad Integridad Disponibilidad VI Simposium Internacional de Computación, Sonora, Nov. 2006

13 Criptografía y Seguridad
4 de los 5 servicios estandarizados se implementan usando Criptografía: Confidencialidad Integridad (Verificación) Autenticación No Repudio No se puede hablar de Seguridad sin hablar de Criptografía VI Simposium Internacional de Computación, Sonora, Nov. 2006

14 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptología Criptología se divide en: Criptografía Criptoanálisis Esteganografía Criptografía: oculta información aplicando al mensaje M, una transformación (algoritmo) F, usando una llave K y produce el texto cifrado C Fk(M) = C VI Simposium Internacional de Computación, Sonora, Nov. 2006

15 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmo F debe ser público Seguridad debe basarse en: Diseño y fortaleza de F Mantener K en secreto Algoritmo F integra 2 procesos: Cifrado: Fk(M) = C Descifrado: F’k(C) = M VI Simposium Internacional de Computación, Sonora, Nov. 2006

16 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos usan diferentes bases de diseño: Operaciones elementales Sustituciones (César, Vigenere, Vernam, etc.) Permutaciones Combinación de ambas (DES, AES, etc.) Matemáticas Teoría de Números (RSA, ElGamal, DSS, etc.) Problemas NP y NP Completos Curvas Elípticas (ECC) Fisica Cuántica Mecanica Cuántica Principio de Incertidumbre de Heinsenberg Otras VI Simposium Internacional de Computación, Sonora, Nov. 2006

17 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos pueden ser: Simétricos o de Llave Secreta Usan misma llave para cifrar y descifrar Asimétricos o de Llave Pública La llave que cifra es diferente a la que descifra Funciones Hash, Resumen o Compendio No usan llave VI Simposium Internacional de Computación, Sonora, Nov. 2006

18 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía También pueden ser por: Bloque El mensaje se procesa en bloques del mismo tamaño Flujo El mensaje se procesa como un todo por unidad básica VI Simposium Internacional de Computación, Sonora, Nov. 2006

19 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos Simétricos o de Llave Secreta DES (anterior estándar mundial) AES (Nuevo estándar mundial) 3DES Algoritmos Asimétricos o de Llave Pública RSA (Estándar de facto) ElGamal DSS (Digital Signature Standard) Algoritmos Hash MD5 SHA-1 VI Simposium Internacional de Computación, Sonora, Nov. 2006

20 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos Simétricos Basan su diseño en operaciones elementales Buscan eficiencia Seguridad depende del tiempo y los recursos de cómputo Aplicaciones de Criptografia Simétrica Cifrado de información no clasificada (Confidencialidad) Verificación de Integridad Autenticación VI Simposium Internacional de Computación, Sonora, Nov. 2006

21 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos Asimétricos Diseño basado en problemas matemáticos Seguros computacionalmente Seguridad no depende de tiempo ni de recursos de cómputo Pero...son ineficientes Aplicaciones de Criptografia Asimétrica Cifrado de informacion clasificada (Confidencialidad) Acuerdo de llave simétrica Firma Digital (Autenticación y No Repudio) VI Simposium Internacional de Computación, Sonora, Nov. 2006

22 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Criptografía Algoritmos Hash Diseño basado en operaciones elementales Son eficientes Seguridad depende del tiempo y recursos de cómputo Proporcionan una huella digital del mensaje Aplicaciones de Algoritmos Hash Verificación de Integridad Autenticación Demostrar posesión de secretos sin revelar el secreto Virología VI Simposium Internacional de Computación, Sonora, Nov. 2006

23 Aplicaciones de Criptografía
Actualmente se usan de forma híbrida Simétricos: eficientes Asimétricos: seguros computacionalmente Hash: eficientes y proporcionan huella digital Se usan asimétricos para acordar llave simétrica Acordada la llave simétrica, se usa un algoritmo simétrico para cifrar la información Ejemplo: PGP, SSH, etc. VI Simposium Internacional de Computación, Sonora, Nov. 2006

24 Protocolos Criptográficos
Criptografía por sí sola no sirve para nada Protocolos: hilos mágicos que conectan Seguridad con Criptografía Todas las herramientas que proporcionan servicios de seguridad implementan protocolos Ejemplo: PGP, SSH, SET, SSL, etc. VI Simposium Internacional de Computación, Sonora, Nov. 2006

25 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes A problemas sin resolver (por no haber soluciones definitivas, por no conocerse o por no implementarlas) de la seguridad en: Controles de Acceso Bases de Datos Redes Sistemas Operativos SPAM Virus Etc. VI Simposium Internacional de Computación, Sonora, Nov. 2006

26 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes Se agregan: cómputo móvil y wireless El grado y nivel de riesgo de amenazas, ataques y vulnerabilidades crece: Internet, Web y sus aplicaciones y desarrollos Tecnologías de código distribuible (Java, ActiveX) Sistemas abiertos y bancos de información Comercio electrónico Votaciones electrónicas Minería de datos y DWH Manejo de imágenes y multimedia VI Simposium Internacional de Computación, Sonora, Nov. 2006

27 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes El canal es público Usar canales cifrados. Ejemplo: SecureSHell Cifrar toda información que se intercambia. Ejemplo: usar Pretty Good Privacy (PGP) Usar sistemas de correo seguro (cifrado). Ejemplos: PGP, PEM, S/MIME Monitorear la red. Ejemplo: ntop y EtheReal Detectar intentos de intrusión. Ejemplo: usar IDS’s como Snort o alguno comercial de ISS Usar mismas armas que los atacantes para defensa. Ejemplos: sniffers como EtheReal y crackers como John the Ripper VI Simposium Internacional de Computación, Sonora, Nov. 2006

28 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes No se sabe la identidad del que envía o recibe Usar esquemas de firma y certificados digitales Ejemplo: PGP Usar protocolos fuertes de autenticación como IKE No se sabe qué información entra y sale Usar filtros de contenido No se sabe de donde viene y a donde van los accesos Usar filtros por IP, aplicación, etc. Ejemplo: usar Firewalls como IPTable o IPChains, ChekPoint, etc. VI Simposium Internacional de Computación, Sonora, Nov. 2006

29 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes No se sabe si lo que se recibe es lo que se envió Usar esquemas para verificar integridad. Ejemplo: PGP Usar protocolos que implementen códigos MIC/MAC usando funciones hash o cifrado simétrico No se sabe si la red y sus recursos se están utilizando como y para lo que se debe Implantar politicas de uso (ISO y 27001) Monitoreo y autoataque (ntop, Ethereal, John the Ripper) No se sabe por donde me están atacando y que debilidades tiene mi red Usar analizadores de vulnerabilidades. Ejemplo: Nessus VI Simposium Internacional de Computación, Sonora, Nov. 2006

30 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes Ya sé por donde, pero no se qué hacer para proteger mi red Actualizar software de sistemas y aplicaciones Instalar todos los parches de seguridad Cerrar puertos y aplicaciones no necesarios. Prohibir modems Informarse diario sobre nuevos ataques y vulnerabilidades e instalar los parches correspondientes Ya estamos hartos del SPAM Filtrado de contenidos y Firewalls Restringir tráfico de entrada y salida por IP, subject, idioma, etc. VI Simposium Internacional de Computación, Sonora, Nov. 2006

31 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Seguridad en Redes Ya no soportamos al proveedor de antivirus Usar un antivirus libre y realizar sus propias actualizaciones La instalación de software es incontrolable Prohibir instalar cualquier software y nombrar único responsable autorizado para ello Políticas de seguridad No sé cómo empezar Empiece a estudiar Visite los sitios especializados VI Simposium Internacional de Computación, Sonora, Nov. 2006

32 Aspectos que se deben considerar
Hay que tener Politicas de Seguridad Planes de Recuperacion y Continuidad en caso de Desastre (DRP y BCP) Sitios Alternos para funcionar y Respaldos de Informacion Sistemas de Detección de Intrusos Análisis de bitácoras Monitoreo y análisis de actividades de usuarios para limitar privilegios Reconocimiento de ataques a la red. Frecuencia y origen de los ataques Registro de Consulta de páginas Internet y comunicaciones con personas desconocidas Monitoreo de tráfico de la red Verificación de Integridad de Archivos y Bases de Datos Auditorías a la configuración del sistema Monitoreo de Recursos Humanos que tienen acceso a información sensible (selección, reclutamiento y sistemas de desarrollo del personal) Sistemas de Control de Confianza VI Simposium Internacional de Computación, Sonora, Nov. 2006

33 Aplicaciones Criptográficas
SSH (Secure SHell) OpenSSL: PGP: GPG: Correo Electrónico Seguro S/MIME:

34 PKI (Public Key Infrastucture)
Verisign: OpenCA: Autoridades Certificadoras Verisign: Entrust:

35 IDS (Intrusion Detection System)
Snort: Real Secure (ISS): Cisco: Firewalls

36 Monitores de Red Sniffers Ntop (Network Top) http://www.ntop.org
Nagios Sniffers TCPDump Ethereal Windump Etthercap

37 Analizadores de Vulnerabilidades
Nessus LANGUARD Internet Scanner (ISS) htttp:// Passwords Crackers John de Ripper

38 ISO/IEC 17799-2005 http://www. iso
Sarbanes Oxley

39 ANTIVIRUS AVAST (libre) CLAM WIN (libre) SYMANTEC MCAFFE PANDA AVG

40 VI Simposium Internacional de Computación, Sonora, Nov. 2006
Recursos de Seguridad VI Simposium Internacional de Computación, Sonora, Nov. 2006

41 Comentarios y Conclusiones
Hay que empezar a preocuparse y ocuparse del problema Ejemplos en que nunca hubo ya necesidad: cuando ocurrió, no hubo nunca más que hacer porque había desaparecido todo Biblioteca de Alejandría 11 Sept. 2001 A partir de 2001 el mundo cambió su visión, concepción y percepción de seguridad y su relación con las TI Replanteamiento total: Land Home Security Seguridad Nacional Estandarización global VI Simposium Internacional de Computación, Sonora, Nov. 2006

42 Comentarios y Conclusiones
Estándares Globales ISO y 27001 Ley Sarbanes Oxley (SOX) BS 7799 Para empresas e instituciones, la seguridad ha dejado de ser un problema tecnológico para convertirse en ventaja competitiva Toda empresa o institución que desee competir a nivel mundial tiene que cumplir esos estándares VI Simposium Internacional de Computación, Sonora, Nov. 2006

43 Comentarios y Conclusiones
La seguridad puede verse ahora en 3 niveles de responsabilidad Directores y cuadros ejecutivos Niveles técnicos y operativos Usuarios Todos los niveles deben tener conciencia del problema Todo gobierno actual se siente obligado a seguir las tendencias globales Muchos no están preparados (México) Están empezando a prepararse VI Simposium Internacional de Computación, Sonora, Nov. 2006

44 Comentarios y Conclusiones
Tampoco las empresas están preparadas Empiezan a darse cuenta No es el mejor camino el que se sigue ahora para resolver el problema: Consultoría externa (cara y escasa): dependencia Productos ¨milagro¨ generales (no resuelven nada) Soluciones sobre la marcha (improvisación y arribismo) Hay que trabajar en educación en Seguridad Universidades VI Simposium Internacional de Computación, Sonora, Nov. 2006

45 Seguridad y TI en la UNAM
Diplomado en Seguridad Informática Diplomado en Tecnologías de Información Laboratorio de Seguridad Informática, CTA Grupo de Seguridad de DGSCA VI Simposium Internacional de Computación, Sonora, Nov. 2006

46 Gracias .............. Leobardo Hernández
Laboratorio de Seguridad Informática Centro Tecnológico Aragón, UNAM Tel VI Simposium Internacional de Computación, Sonora, Nov. 2006