FUNCIONES DE COMPENDIO DE MENSAJES SEGURIDAD EN EL WEB Analizemos el siguiente ejemplo con el algoritmo MD5 MD5 (Hay $1500 en la caja azu ) =d9261e7d6d1ee9c039076ab02cda6629 MD5 (Hay $1500 en la caja azul ) =b8f3aa09ccdec76bce9001f1043ceefa MD5 (Hay $1500 en la caja azul. ) =f1348485f7619f3017c641af3268cda MD5 (Hay $1500 en la caja azul! ) =062dc60d4db7b2fc6130389e8bba6254
FIRMAS DIGITALES SEGURIDAD EN EL WEB Las firmas digitales funcionan de manera inversa al proceso de cifrado normal. La firma digital utiliza la llave privada en algunos bloques de datos y el receptor descifra esos datos con la llave pública que está disponible y es conocida.
PROCESO DE FIRMA DIGITAL. Un usuario aplica una función de transformación del código al mensaje, la cual lo reduce a un tamaño de 128 bits. El compendio resultante del mensaje se cifra con la clave privada del usuario y este proceso crea la firma digital.
AUTORIDADES EMISORAS DE CERTIFICADOS SEGURIDAD EN EL WEB Siempre existe la posibilidad de un fraude en cualquier infraestructura de llave pública. Con el uso de las firmas digitales, se puede estar seguro de que alguien firmó el documento, pero se necesita un tercero para asegurarse de que la firma es legítima. Ese es el papel de la AUTORIDAD EMISORA DE CERTIFICADOS (CA): asegurar que esa persona es quien dice ser.
La llave pública, una pieza única de identificación de usuario, y una identificación particular de la CA forman el certificado sin firma.
La CA firma la información de la siguiente manera: la CA transforma el código del certificado sin firma, luego toma el código transformado y lo cifra junto con su clave privada, al final adjunta esta firma al certificado original para crear el certificado.
TIPOS DE VULNERABILIDADES SEGURIDAD EN EL WEB INTERRUPCION: el ataque ocasiona que un recurso del sistema deje de estar disponible.
INTERSECCION: el atacante produce la captura no autorizada de la información en el medio de transmisión.
FALSIFICACION: el ataque produce que una entidad no autorizada inserte mensajes falsos en el sistema.
MODIFICACION: no solo se da el acceso no autorizado a un recurso sino también la capacidad de manipularlo.
LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB SEGURIDAD EN EL WEB Existen cuatro palabras claves que se utilizan para describir todas las funciones que tiene la encriptación en los sistemas de información modernos. Estas funciones son: CONFIDENCIALIDAD. AUTENTICACION. INTEGRIDAD. NO REPUDIACION.
LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB SEGURIDAD EN EL WEB CONFIDENCIALIDAD.- La encriptación se utiliza para ocultar la información enviada a través de Internet y almacenarla en servidores, de forma que cualquiera que intente interceptarlas no pueda tener acceso al contenido de los datos. AUTENTICACION.- Las firmas digitales sirven para identificar al autor de un mensaje; las personas que reciben el mensaje pueden comprobar la identidad de quien lo firmó. INTEGRIDAD.- Para verificar que un mensaje no ha sido modificado en tránsito. NO REPUDIACION.- Mediante la encriptación se crean recibos de forma que el autor de un mensaje no pueda negar falsamente su envío.
LOS SISTEMAS ACTUALES DE ENCRIPTACION SEGURIDAD EN EL WEB Los sistemas criptográficos se componen de protocolos de red utilizados para proporcionar confidencialidad, autenticación, integridad y no repudiación en un ambiente de red. Algunos sistemas populares son: PGP SSL PCT S-HTTP SET y Cyber Cash DNSSEC Ipsec e IPv6 Kerberos. SSH
LOS SISTEMAS ACTUALES DE ENCRIPTACION SEGURIDAD EN EL WEB PGP PGP (Pretty Good Privacy). Privacía bastante segura, es un sistema completo para la protección de correo electrónico y archivos. También es un conjunto de estándares que describen los formatos de los mensajes encriptados, llaves y firmas digitales.
SSL SSL (Secure Sockets Layer). El Nivel de Conexiones Seguras, es un protocolo criptográfico de propósito general para asegurar canales de comunicación bidireccionales. SSL ofrece confidencialidad mediante algoritmos de encriptación especificados por el usuario; integridad, mediante funciones Hash criptográficas especificadas por el usuario, y no repudiación, mediante mensajes firmados criptográficamente.
LOS SISTEMAS ACTUALES DE ENCRIPTACION SEGURIDAD EN EL WEB PCT PCT (Private Comunications Technology). Tecnología de Comunicaciones Seguras, es un protocolo de seguridad de nivel de transporte similar a SSL. Fue desarrollado en respuesta a los problemas asociados a SSL 2.0. S-HTTP S-HTTP es un sistema para firmar y encriptar información enviada mediante el protocolo HTTP del Web. SET SET (Secure Electronic Transactions). Transacciones Electrónicas Seguras, es un protocolo criptográfico diseñado para envío de números de tarjetas de crédito por Internet.
LOS SISTEMAS ACTUALES DE ENCRIPTACION SEGURIDAD EN EL WEB Cyber cash Cyber Cash (Ciber efectivo) es un protocolo de pagos electrónicos de propósito similar al de SET. DNSSEC DNSSEC (Domain Name System Security). El estándar de seguridad del Sistema de Nombres de Dominios crea una infraestructura paralela de llaves públicas sobre el sistema de DNS. A cada dominio del DNS se le asigna una llave pública . IPsec e IPv6 IPsec es un protocolo criptográfico diseñado para proporcionar confidencialidad de principio a fin. IPv6 incluye Ipsec.
LOS SISTEMAS ACTUALES DE ENCRIPTACION SEGURIDAD EN EL WEB KERBEROS Kerberos se basa en códigos simétricos y en secretos compartidos entre el servidor de Kerberos y cada usuario, quien tiene su propia clave de acceso. Para operar un sistema con Kerberos, cada sitio debe tener un servidor de Kerberos que se encuentre físicamente seguro.
SSH SSH (secure shell) es el interprete de comandos seguros. Proporciona operaciones protegidas de terminal virtual (Telnet) y transferencia de archivos (ftp).
COMPARACION ENTRE LOS SISTEMAS ACTUALES SEGURIDAD EN EL WEB (Gp:) Sistema
(Gp:) ¿Qué es?
(Gp:) Algoritmos
(Gp:) Proporciona
(Gp:) PGP
(Gp:) Aplicación para encriptar correo electrónico.
(Gp:) IDEA, RSA, MD5
(Gp:) Confidencialidad, autenticación, integridad, no repudiación.
(Gp:) SSL
(Gp:) Protocolo para encriptar transmisiones TCP/IP.
(Gp:) RSA, RCZ, RC4, MD5, y otros.
(Gp:) Confidencialidad, autenticación, integridad, no repudiación.
(Gp:) PCT
(Gp:) Protocolo para encriptar transmisiones TCP/IP.
(Gp:) RSA, MD5, RCZ, RC4, y otros.
(Gp:) Confidencialidad, autenticación, integridad, no repudiación.
(Gp:) S-http
(Gp:) Protocolo para encriptar peticiones y respuestas http.
(Gp:) RSA, DES, Y otros.
(Gp:) Confidencialidad, autenticación, integridad, no repudiación; (Gp:) SET y CyberCash
(Gp:) Protocolos para el envío de instrucciones de pago seguras a través de Internet.
(Gp:) RSA, MD5, RC2.
(Gp:) Confidencialidad de números de tarjeta de crédito, integridad de todo el mensaje, autenticación del cliente y proveedor; no repudiación de las transacciones.
(Gp:) DNSSEC
(Gp:) Seguridad del sistema de Nombres de Dominios.
(Gp:) RSA, MD5.
(Gp:) Autenticación, integridad.
(Gp:) IPsec e IPv6
(Gp:) Protocolo de bajo nivel para encriptar paquetes IP.
(Gp:) Diffie-Helmann y otros.
(Gp:) Confidencialidad (opcional), autenticación, integridad.
(Gp:) Kerberos
(Gp:) Servicio de seguridad de red para asegurar aplicaciones de más alto nivel.
(Gp:) DES.
(Gp:) Confidencialidad, autenticación.
(Gp:) SSH
(Gp:) Terminal remota encriptada.
(Gp:) RSA, Diffie-Helmann, DES, Triple-DES, Blowfish.
(Gp:) Confidencialidad, autenticación.
SEGURIDAD EN EL WEB CORTAFUEGOS (FIREWALLS) Un Cortafuego en Internet es un sistema que impone una política de seguridad entre la organización de red privada y el Internet. Una política de seguridad completa incluye:
Publicaciones donde se informe a los usuarios de sus obligaciones. Normas de acceso a la red. Política de servicios en la red. Política de autenticidad en acceso remoto. Reglas de encriptación de datos y discos. Normas de protección de virus
SEGURIDAD EN EL WEB TIPOS DE CORTAFUEGOS Filtros de Paquetes. Gateways a Nivel de Aplicación. Cortafuegos Híbridos. Cortafuegos basados en un host Bastión. Cortafuegos Basados en Redes
SEGURIDAD EN EL WEB FILTROS DE PAQUETES
Un cortafuegos de filtrado de paquetes ofrece un control básico de acceso a la red basado en los paquetes IP.
Cuando los paquetes llegan al cortafuegos, la información se compara con un conjunto de reglas de filtrado, que especifican las condiciones según las cuales se autoriza o niega su acceso a la red.
La mayoría de cortafuegos actuantes como filtros de paquetes son routers
SEGURIDAD EN EL WEB GATEWAYS A NIVEL DE APLICACION (Gp:) Red 1 (Gp:) Red 2 (Gp:) Red 3 (Gp:) Proxy (Gp:) Proxy (Gp:) Ruta (Gp:) Paquetes (Gp:) Gateways a Nivel de Aplicación (Gp:) Diagrama de flujo de una sesión de un gateway a nivel de aplicación. (Gp:) Nivel de kernel (Gp:) Nivel de (Gp:) aplicacion
Los gateways a nivel de aplicación impiden el paso directo de los paquetes de una red a otra, más bien, obligan a que la conexión original se haga a una aplicación específica, conocida como proxy. Gateways a nivel de aplicación
SEGURIDAD EN EL WEB GATEWAYS A NIVEL DE APLICACION
Esta aplicación proxy decide si debe o no establecer, en representación del host origen, una conexión con el host destino solicitado. Este tipo de retransmisión de paquetes que efectúa el proxy ayuda a impedir algunos ataques a nivel de aplicación como el conocido ataque por sobreflujo de buffer. Una de las limitaciones de un cortafuego basado en un gateway a nivel de aplicación es que precisa de una aplicación individual para cada servicio de red. Un cortafuego de este tipo necesita programas individuales para Telnet, para correo electrónico, para el World Wide Web o para cualquier otro servicio que soporte el sistema. Además, existe un límite en cuanto al número de aplicaciones activas que puede soportar un computador, lo que restringe el número total de conexiones simultáneas que puede proporcionar el cortafuegos.
SEGURIDAD EN EL WEB CORTAFUEGOS HIBRIDOS un sistema de cortafuegos híbrido incluye un filtro de paquetes y un gateway a nivel de aplicación. En una configuración híbrida los paquetes recibidos son sometidos en primer lugar a las decisiones de filtrado del filtro de paquetes. Luego los paquetes pueden desecharse, hacerse pasar a través del Kernel hacia su destino previsto o enviarse a un proxy. Un cortafuego híbrido es la mejor solución para una Intranet que necesita la seguridad que ofrece un gateway a nivel de aplicación para ciertos servicios y la velocidad y flexibilidad de un filtro de paquetes para otros tipos de servicios.
SEGURIDAD EN EL WEB CORTAFUEGOS BASADOS EN UN HOST BASTION La arquitectura basada en host bastión consiste en un host configurado para resistir los ataques procedentes del exterior. (Gp:) Red Interna (Gp:) Red Externa (Gp:) Router (Gp:) "Extrangulador" (Gp:) Interno (Gp:) Router (Gp:) Externo (Gp:) Host bastión (Gp:) Red de perímetro (Gp:) "Subred tamizada" (Gp:) Cortafuegos basados en un host Bastión (Gp:) Arquitectura de host bastión de residencia única.
Cortafuegos basados en un host bastión
SEGURIDAD EN EL WEB CORTAFUEGOS BASADOS EN UN HOST BASTION Host bastión de residencia única. Solo hay una conexión de red conectada a lo que se conoce como red de perímetro. El servicio de cortafuegos lo proporciona una combinación de los dos routers de filtrado y el host bastión. El router exterior filtra los servicios no soportados por la red interna o por el host bastión. El router interno limita todos los servicios no soportados por la red interna. El host bastión proporciona a los usuarios los distintos servicios.
SEGURIDAD EN EL WEB CORTAFUEGOS BASADOS EN REDES Se diferencia por estar situado en la red de un proveedor de servicios de Internet y por su capacidad para servir a múltiples clientes. (Gp:) Cliente 1 (Gp:) Intranet (Gp:) Cliente 2 (Gp:) Intranet (Gp:) Intranet (Gp:) Cortafuegos Basados en Redes (Gp:) Cortafuegos (Gp:) Router (Gp:) Router (Gp:) Intranet del proveedor (Gp:) de servicios
Cortafuegos Basados en una Red.
SEGURIDAD EN EL WEB CORTAFUEGOS BASADOS EN REDES Estos cortafuegos tienen que superar dos obstáculos principales.
El primero es la velocidad debido a que el cortafuegos de red habrá de gestionar el tráfico de múltiples intranets, deberá soportar un elevado rendimiento total de procesamiento.
El segundo es impedir que cualquier router situado entre el cliente y el cortafuegos pueda evitar el cortafuegos y permitir el acceso incontrolado a la intranet de otro cliente.
SEGURIDAD EN EL WEB CORTAFUEGOS EN REDES PRIVADAS VITUALES Algunos cortafuegos permiten cifrar todas las comunicaciones, o algunas de ellas, entre dos o más sitios.
Esta característica, conocida como red virtual privada (VPN), precisa que haya un convenio entre los cortafuegos para cifrar o descifrar los paquetes a medida que se envían y reciben.
En el caso de haber un gran número de sitios, tal vez sea necesario un sistema de gestión de claves de encriptación para distribuir automáticamente las nuevas claves de encriptación a medida que se necesitan.
| Página siguiente |