3.- Es fácil interceptar paquetes UDP. 4.- Los paquetes ICMP pueden interrumpir todas las comunicaciones entre dos nodos. 5.- Los mensajes ICMP Redirect pueden corromper la tabla de rutas. 6.- El encaminamiento estático de IP puede comprometer la autenticación basada en las direcciones. 7.- Es fácil generar mensajes RIP falsos. 8.- El árbol inverso del DNS se puede usar para conocer nombres de máquinas. 9.- Un atacante puede corromper voluntariamente la caché de su DNS para evitar responder peticiones inversas. 10.- Las direcciones de vuelta de un correo electrónico no son fiables.
11.- El programa sendmail es un peligro en sí mismo. 12.- No se deben ejecutar a ciegas mensajes MIME. 13.- Es fácil interceptar sesiones telnet. 14.- Se pueden atacar protocolos de autenticación modificando el NTP. 15.- Finger da habitualmente demasiada información sobre los usuarios. 16.- No debe confiarse en el nombre de la máquina que aparece en un RPC. 17.- Se puede conseguir que el encargado de asignar puertos IP ejecute RPC en beneficio de quien le llama. 18.- Se puede conseguir, en muchísimos casos, que NIS entregue el fichero de passwords al exterior. 19.- A veces es fácil conectar máquinas no autorizadas a un servidor NIS. 20.- Es difícil revocar derechos de acceso en NFS. 21.- Si está mal configurado, el TFTP puede revelar el /etc./passwords. 22.- No debe permitirse al ftp escribir en su directorio raíz. 23.- No debe ponerse un fichero de passwords en el área de ftp. 24.- A veces se abusa de FSP, y se acaba dando acceso a ficheros a quien no se debe dar. 25.- El formato de información de WWW debe interpretarse cuidadosamente. 26.- Los servidores WWW deben tener cuidado con los punteros de ficheros. 27.- Se puede usar ftp para crear información de control del gopher. 28.- Un servidor WWW puede verse comprometido por un script interrogativo pobremente escrito. 29.- El MBone se puede usar para atravesar algunos tipos de cortafuego. 30.- Desde cualquier sitio de la Internet se puede intentar la conexión a una estación X11 (X-Server). 31.- No se debe confiar en los números de puerto facilitados remotamente. 32.- Es casi imposible hacer un filtro seguro que deje pasar la mayoría del UDP.
33.- Se puede construir un túnel encima de cualquier transporte. 34.- Un cortafuego no previene contra niveles superiores de aquellos en los que actúa. 35.- Las X11 son muy peligrosas incluso a través de una pasarela. 36.- Las herramientas de monitorización de red son muy peligrosas si alguien accede ilegítimamente a la máquina en que residen. 37.- Es peligroso hacer peticiones de finger a máquinas no fiables. 38.- Se debe de tener cuidado con ficheros en áreas públicas cuyos nombres contengan caracteres especiales. 39.- Los caza-passwords actúan silenciosamente. 40.- Hay muchas maneras de conseguir copiar el /etc./passwords 41.- Registrando completamente los intentos fallidos de conexión, se capturan passwords. 42.- Un administrador puede ser considerado responsable -si se demuestra conocimiento o negligencia- de las actividades de quien se introduce en sus máquinas.
TABLA F. LISTA DE PELIGROS EN INTERNET. Fuente: "Firewalls and Internet Security. Repelling the Wily Hacker" A la hora de plantearse en que elementos del sistema se deben de ubicar los servicios de seguridad podrían distinguirse dos tendencias principales:
Protección de los sistemas de transferencia o transporte. En este caso, el administrador de un servicio, asume la responsabilidad de garantizar la transferencia segura de la información de forma bastante transparente al usuario final. Ejemplos de este tipo de planteamientos serían el establecimiento de un nivel de transporte seguro, de un servicio de mensajería con MTAs seguras, o la instalación de un cortafuego, (firewall), que defiende el acceso a una parte protegida de una red.
Aplicaciones seguras extremo a extremo. Si pensamos por ejemplo en correo electrónico consistiría en construir un mensaje en el cual en contenido ha sido asegurado mediante un procedimiento de encapsulado previo al envío, de forma que este mensaje puede atravesar sistemas heterogéneos y poco fiables sin por ello perder la validez de los servicios de seguridad provistos. Aunque el acto de securizar el mensaje cae bajo la responsabilidad del usuario final, es razonable pensar que dicho usuario deberá usar una herramienta amigable proporcionada por el responsable de seguridad de su organización. Este mismo planteamiento, se puede usar para abordar el problema de la seguridad en otras aplicaciones tales como videoconferencia, acceso a bases de datos, etc.
En ambos casos, un problema de capital importancia es la gestión de claves. Este problema es inherente al uso de la criptografía y debe estar resuelto antes de que el usuario esté en condiciones de enviar un solo bit seguro. En el caso de las claves secretas el problema mayor consiste en mantener su privacidad durante su distribución, en caso de que sea inevitable su envío de un punto a otro. En el caso de clave pública, los problemas tienen que ver con la garantía de que pertenecen a su titular y la confianza en su vigencia (que no haya caducado o sido revocada). Una manera de abordar esta gestión de claves está basada en el uso de los ya citados Certificados de Clave Pública y Autoridades de Certificación. El problema de la vigencia de la clave se resuelve con la generación de Listas de Certificados Revocados (CRLs) por parte de las CAs.
2.5 LA NECESIDAD DE ESTABLECER UN ENTORNO SEGURO. En la actualidad, la falta de medidas de seguridad en las redes es un problema que está en crecimiento. Cada vez es mayor el número de atacantes y cada vez están más organizados, por lo que van adquiriendo día a día habilidades más especializadas que les permiten obtener mayores beneficios en su labor de piratería. Tal y como se avanzaba en la primera parte de este articulo, la criptografía por sí sola no es suficiente para prevenir los posibles ataques que se perpetran sobre las redes, sino que es necesario establecer unos mecanismos más complejos que utilizan los distintos sistemas criptográficos en sus cimientos. Pero el problema no queda solucionado instalando en una serie de servidores herramientas de seguridad, porque ¿quién tendría acceso a esas herramientas?, ¿a qué aplicaciones se aplicarían?, ¿qué sucedería si sólo uno de los dos interlocutores en una comunicación tiene acceso a herramientas de seguridad?. Por lo tanto, cuando se habla de seguridad en redes es necesario definir el entorno en el que se va a aplicar. La definición de un entorno seguro implica la necesidad de estudiar varios aspectos y de establecer una infraestructura que dé soporte a los servicios de seguridad que se quieren proporcionar. Lo primero que hay que establecer es qué aplicaciones necesitan seguridad y cuántos servicios se necesitan. En segundo lugar hay que determinar cómo se van a proporcionar esos servicios, si van a ser transparentes al usuario, si se le va a dejar elegir el tipo de servicio, etc. También es necesario determinar en qué nivel se van a proporcionar, si en el nivel de aplicación o en niveles inferiores. Y sobre todo, tanto si se utiliza criptografía de clave secreta, como si se utiliza criptografía de clave pública es necesario diseñar un sistema de gestión de claves y definir una política que determine la forma en la que se debe operar. Cuando se utiliza únicamente criptografía de clave simétrica, aunque el sistema de generación de claves suele ser sencillo, ya que no se requiere una gran infraestructura para soportarlo, los mecanismos de distribución de las claves suelen ser muy complejos. En este caso, los principales parámetros que hay que tener en cuenta son el modo de difundir la clave secreta de forma segura a las dos entidades que van a utilizarla y la frecuencia con la que se deben renovar las claves para evitar que sean desveladas. Cuando se utiliza criptografía de clave pública, el sistema de gestión de claves se complica. En primer lugar es necesario almacenar las claves públicas en un lugar al que tengan libre acceso todos los usuarios que forman parte del entorno de seguridad. ITU, en su recomendación X.509, propone la utilización del Directorio para este fin; pero no todos los usuarios de seguridad tienen acceso al Directorio X.500, por lo que en muchos entornos es necesario crear o utilizar otro tipo de bases de datos. El segundo problema que se plantea al utilizar criptosistemas de clave pública, es que las claves públicas, por el simple hecho de ser públicas, están expuestas a la manipulación por parte de todos los usuarios, por lo que es necesario buscar un mecanismo que permita confiar en su validez. Siguiendo el ejemplo de los actuales sistemas legales, aparece la figura de una autoridad de confianza que se encarga de certificar las claves públicas. Estas autoridades, conocidas con el nombre de Autoridades de Certificación (CA "Certification Authority"), emiten certificados de las claves públicas de los usuarios firmando con su clave secreta un documento, válido por un período determinado de tiempo, que asocia el nombre distintivo de un usuario con su clave pública. En la recomendación X.509 se define en sintaxis ASN.1 el siguiente modelo de certificado: Certificate ::= SIGNED SEQUENCE{ version [0] Version DEFAULT 0, serialNumber CertificateSerialNumber, signature AlgorithmIdentifier, issuer Name, validity Validity, subject Name, SubjectPublicInfo SubjectPublicInfo, issuerUniqueId [1] IMPLICIT BIT STRING OPTIONAL, SUBJECTUniqueId [1] IMPLICIT BIT STRING OPTIONAL} Además, para que los usuarios puedan estar seguros de la validez de los certificados de las claves pública de sus interlocutores, la CA debe mantener una lista con los certificados emitidos por ella y que han sido revocados por detección de un uso fraudulento de la clave pública certificada o de la clave secreta asociada. Estas listas se conocen con el nombre de Listas de Certificados Revocados (CRL, "Certificate Revocation List"). Cuando la comunidad de usuarios crece, una sola CA puede verse desbordada por el número de certificados que tiene que gestionar. En otros casos, las empresas o instituciones quieren tener cierto control sobre la manera en que sus usuarios generan las claves, la caducidad de los certificados, etc.
Esto hace conveniente distribuir las funciones de certificación entre varias CAs, cuya política de seguridad puede ser diferente. En la recomendación X.509 ya se prevé la necesidad de una organización de CAs donde se certifiquen unas a otras, sin indicar el tipo de relación organizativa que se debe establecer entre ellas.
De esta forma, dependiendo de las necesidades de cada entorno han aparecido distintos modelos de organización de CAs. 2.6 UNA EXPERIENCIA DE ENTORNOS SEGUROS EN EL ÁMBITO ACADÉMICO: PROYECTO PASSWORD.
El proyecto PASSWORD Piloting an European Security Infraestructure for Network Application financiado por la Unión Europea dentro del programa VALUE tenía como objetivo central el desarrollo de un entorno de seguridad apropiado para la comunidad investigadora europea. Se trataba de poner a prueba la madurez de las tecnologías empleadas en la provisión de servicios de seguridad en redes telemáticas en aspectos como la adecuación y completitud de los protocolos y herramientas criptográficas, adecuación del hardware disponible (tarjeta inteligente), aspectos ergonómicos, etc. Para probar la dificultad real de desarrollar independientemente sistemas que interoperen entre sí, se constituyeron tres consorcios. Cada uno de los consorcios desarrolló un sistema de seguridad completamente independiente a partir de cero, con los que luego se probarían distintas comunicaciones seguras. Cada consorcio estaba formado por instituciones de un país distinto de la Unión Europea y cada uno estaba liderado por una prestigiosa institución investigadora.
Gran Bretaña, (encabezaba el consorcio el University College de Londres)
Alemania (GMD), y
Francia (INRIA)
El diseño inicial incluye una infraestructura de gestión de claves basada en claves certificadas según X.509 y el aseguramiento de varias aplicaciones de uso común: Directorio X.500, documentos ofimáticas en formato ODA y correo electrónico, tanto X.400 (versión 88) como Internet PEM. Cada aplicación era modificada para hacer uso de los servicios de seguridad y todas ellas usaban una misma infraestructura de claves. El directorio cumplía una doble función de aplicación asegurada y colaborador de la infraestructura de certificados al ser la vía preferida para la distribución de estos. DIATEL participó en el proyecto como institución piloto, instalando una DSA segura y dos Autoridades de Certificación con varios usuarios. Durante la experiencia se pudieron realizar varias comunicaciones seguras con los otros participantes en el proyecto. Las aplicaciones probadas fueron, correo Internet PEM y Directorio seguro X.500 utilizando autenticación fuerte en peticiones y respuestas. Para ello se utilizó el software público SecuDE 4.2 del GMD e ISODE 8.0. En el transcurso del proyecto se contribuyó a depurar el software y afloraron algunas de las limitaciones de este modelo que se exponen más adelante. 2.7 ENTORNO SEGURO PARA LA TRANSFERENCIA DE INFORMACIÓN. Uno de los puntos más vulnerables de las redes frente a ataques de intrusos, es la captura de información durante su transferencia. Aunque cada sistema que forma parte de una red se proteja internamente a sí mismo y a la información que tiene almacenada, cuando la información se transfiere de un sistema a otro no se conoce a priori el encaminamiento que va a seguir ni las medidas de seguridad que poseen los sistemas por los que atraviesa y los medios por los que se transmite.
Por este motivo la transferencia segura de información a través de las redes es en la actualidad, el principal problema que los investigadores intentan solucionar. DIATEL ha estado trabajando en los últimos años en el proyecto de la UE, COST225 "Secure Communications", cuya coordinación en la última fase, ha sido llevada a cabo por uno de los miembros del grupo de seguridad del Departamento, que ha realizado la función de "chairman".
El objetivo de este proyecto, que ha concluido al inicio de 1995, ha sido el de estudiar y experimentar en varios entornos seguros en los que se realiza transferencia de información, como son el correo electrónico y la transferencia de ficheros a través de FTP y FTAM. Concretamente, en DIATEL se ha montado un entorno de seguridad que permite transferir información con distintos niveles de seguridad, a través de cualquier aplicación. El desarrollo consta de dos partes fundamentales. La primera parte consiste en una aplicación, denominada SECKit, que permite a un usuario manejar distintas herramientas de seguridad con el fin de poder convertir a un fichero normal, en un fichero con un cierto nivel de seguridad. La aplicación SECKit que por su carácter experimental no incluye un interfaz de usuario amigable, presenta un único menú en el que aparece la lista de operaciones que permite realizar. La segunda parte consiste en el desarrollo de un servidor de seguridad denominado SECServer. Este servidor de seguridad no sólo oferta los servicios de una autoridad de certificación (generación de certificados de claves públicas), sino que además ofrece la posibilidad de generación de claves RSA para aquellos usuarios que no sean capaces de generarlas, y se encarga del almacenamiento y distribución de los certificados de los usuarios que lo soliciten. Las peticiones de servicios al SECServer se realizan a través de correo electrónico y el SECServer envía los certificados o las claves solicitadas a través de correo electrónico, FTP o FTAM. En este entorno de seguridad los usuarios antes de transferir un fichero lo pueden transformar en un fichero firmado, en un fichero encriptado con DES o RSA, o en lo que en el entorno se denomina, un fichero seguro. Y cuando reciben un fichero firmado, encriptado o seguro, procedente de otro usuario, lo pueden transformar en el fichero original, verificando la validez de la información recibida. Un fichero seguro es el resultado de combinar los mecanismos de seguridad de firma y encriptado con el fin de proporcionar los servicios de autenticación de origen y destino, integridad, confidencialidad y no repudio de origen. Cuando un usuario A desea enviar un fichero seguro a un usuario B, debe seguir los siguientes pasos:
1. A debe cifrar el fichero que quiere enviar a B. Para cifrarlo utilizará una clave simétrica K, generada en ese momento, y un algoritmo de cifrado DES.
2. Para que B pueda descifrar el contenido del fichero necesita conocer la clave K empleada. A debe enviar a B la clave K de una forma segura. Para ello, A utilizará un algoritmo de cifrado asimétrico RSA y cifrará K con la clave pública de B. De esta forma se garantiza que el único destinatario que puede recibir el fichero original es B. Cuando B reciba el fichero seguro, deberá utilizar su clave secreta para obtener la clave K, de esta forma sólo B podrá conocer la clave de cifrado empleada, con lo que queda totalmente garantizada la confidencialidad del contenido del fichero.
3. Para proporcionar el servicio de integridad y de autenticación del origen de los datos, A firmará el fichero original comprimiendo el contenido con una función hash y cifrando el resultado con su clave secreta. Cuando B reciba el fichero podrá verificar la firma comprobando así la integridad del mismo y autenticando al originador de los datos. Para verificar la firma, B deberá descifrarla utilizando la clave pública de A, obteniendo así el contenido del fichero comprimido. Si B obtiene la clave pública de A de su certificado, queda garantizado ante la CA que A es quien ha enviado el certificado. Una vez descifrado el fichero original, B puede comprimirlo con la función hash que se ha empleado en la firma, comparando el resultado con el obtenido de la firma, de forma que si ambos coinciden queda garantizado que el contenido del fichero original no ha sido manipulado durante su transferencia.
El entorno diseñado en esta experimentación es un entorno muy abierto. Cualquier usuario de Internet que tenga correo electrónico puede acceder al SECServer para solicitar claves RSA o certificados. Si los usuarios del servidor tienen acceso al Directorio X.500, ellos mismos pueden guardar sus certificados en su entrada correspondiente y pueden recuperar los certificados de sus interlocutores. Los usuarios que tienen certificadas las claves publicas por la CA del entorno no necesitan obligatoriamente tener instalada la aplicación de usuario SECKit para realizar comunicaciones seguras; basta con que los usuarios tengan un traductor de sintaxis ASN.1 y una implementación de los algoritmos utilizados en el entorno. En la última fase del proyecto COST 225, varias de las instituciones participantes, y entre ellas DIATEL, han centrado sus esfuerzos en plantear nuevos modelos en los que participan varias CAs. Se han estudiado distintas arquitecturas de organización de las CAs y se han buscado soluciones para que los usuarios puedan conocer los caminos de certificación compuestos por los certificados que se deben examinar para que un usuario A tenga plena confianza en la validez de la clave pública de un usuario B.
¿Qué es un servidor seguro?
Cuando usted se conecta a un servidor Web seguro como https://www.commercialplace.com le obliga al servidor que se autentifique. Esta autentificación tiene que ver con un complejo proceso que incluye claves públicas, privadas y un certificado digital. El certificado digital le confirma que una compañía independiente y con privilegios legales le asegura que el servidor Web al que se ha conectado pertenece a la compañía que dice ser. Un certificado de seguridad válido significa que usted obtiene la conformidad de que está enviando información al lugar correcto. El certificado de seguridad para dominios en Internet que tramita el centro proveedor Interplanet está acreditado por la empresa Thawte Consulting quién opera como Notario Virtual para toda la red Internet a la vez que da fe de la autenticidad de su empresa cuando alguien se conecta a su servidor seguro. El certificado digital que puede obtener para su dominio registrado en Interplanet es aceptado por los fabricantes de software más importantes y en consecuencia por los siguientes navegadores o browsers de Internet: Netscape Navigator 3.0. Netscape Communicator 4.0. Microsoft Internet Explorer 3.01. Microsoft Internet Explorer 3.02. Microsoft Internet Explorer Suit 4.0 .
Existen en Internet otras compañías que suministran el famoso Certificado Digital basado en el protocolo de comunicaciones SSL (secure socket layer) 3.0 reconocido ya por los mayores fabricantes de software para Internet pero sólo Thawte Consulting ha demostrado ser la más eficaz y lo que es más importante la compañía más rápida a la hora de entregar el certificado suministrando al usuario que lo haya solicitado información detallada del estado actual de su petición a través de una página Web personal. Lea el artículo acerca del significado y uso protocolo SSL de seguridad para la transacción encriptada de información personal y empresarial por Internet en la Base de Conocimiento de Interplanet Enterprise. Si su organización o empresa decide suscribir un certificado digital para uno o varios dominios en Internet deberá saber que todas las páginas Web incluidas en el dominio principal así como archivos, imágenes, formularios y más que estén incluidas dentro de su directorio raíz y hayan sido solicitadas por parte de los usuarios que las visiten a través del protocolo de seguridad HTTPS en lugar del estándar HTTP serán verificadas como "Sitio Seguro" para la tranquilidad de todos sus clientes. 2.8 LOS SERVICIOS DE SEGURIDAD El documento de ISO que describe el Modelo de Referencia OSI, presenta en su Parte 2 una Arquitectura de Seguridad. Según esta arquitectura, para proteger las comunicaciones de los usuarios en las redes, es necesario dotar a las mismas de los siguientes servicios de seguridad:
Autenticación de entidad par. Este servicio corrobora la fuente de una unidad de datos. La autenticación puede ser sólo de la entidad origen o de la entidad destino, o ambas entidades se pueden autenticar la una o la otra.
Control de acceso. Este servicio se utiliza para evitar el uso no autorizado de recursos.
Confidencialidad de datos. Este servicio proporciona protección contra la revelación deliberada o accidental de los datos en una comunicación.
Integridad de datos. Este servicio garantiza que los datos recibidos por el receptor de una comunicación coinciden con los enviados por el emisor.
No repudio. Este servicio proporciona la prueba ante una tercera parte de que cada una de las entidades comunicantes han participado en una comunicación. Puede ser de dos tipos:
Con prueba de origen. Cuando el destinatario tiene prueba del origen de los datos.
Con prueba de entrega. Cuando el origen tiene prueba de la entrega íntegra de los datos al destinatario deseado.
Para proporcionar estos servicios de seguridad es necesario incorporar en los niveles apropiados del Modelo de Referencia OSI los siguientes mecanismos de seguridad:
Cifrado. El cifrado puede hacerse utilizando sistemas criptográficos simétricos o asimétricos y se puede aplicar extremo a extremo o individualmente a cada enlace del sistema de comunicaciones.
El mecanismo de cifrado soporta el servicio de confidencialidad de datos al tiempo que actúa como complemento de otros mecanismos de seguridad.
Firma digital. Se puede definir la firma digital como el conjunto de datos que se añaden a una unidad de datos para protegerlos contra la falsificación, permitiendo al receptor probar la fuente y la integridad de los mismos. La firma digital supone el cifrado, con una componente secreta del firmante, de la unidad de datos y la elaboración de un valor de control criptográfico.
La firma digital descrita por ITU y OSI en el Entorno de Autenticación del Directorio utiliza un esquema criptográfico asimétrico. La firma consiste en una cadena que contiene el resultado de cifrar con RSA aplicando la clave privada del firmante, una versión comprimida, mediante una función hash unidireccional y libre de colisiones, del texto a firmar.
Para verificar la firma, el receptor descifra la firma con la clave pública del emisor, comprime con la función hash al texto original recibido y compara el resultado de la parte descifrada con la parte comprimida, si ambas coinciden el emisor tiene garantía de que el texto no ha sido modificado.
Como el emisor utiliza su clave secreta para cifrar la parte comprimida del mensaje, puede probarse ante una tercera parte, que la firma sólo ha podido ser generada por el usuario que guarda la componente secreta. El mecanismo de firma digital soporta los servicios de integridad de datos, autenticación de origen y no repudio con prueba de origen. Para proporcionar el servicio de no repudio con prueba de entrega es necesario forzar al receptor a enviar al emisor un recibo firmado digitalmente.
Control de acceso. Este mecanismo se utiliza para autenticar las capacidades de una entidad, con el fin de asegurar los derechos de acceso a recursos que posee. El control de acceso se puede realizar en el origen o en un punto intermedio, y se encarga de asegurar si el emisor está autorizado a comunicar con el receptor y/o a usar los recursos de comunicación requeridos. Si una entidad intenta acceder a un recurso no autorizado, o intenta el acceso de forma impropia a un recurso autorizado, entonces la función de control de acceso rechazará el intento, al tiempo que puede informar del incidente, con el propósito de generar una alarma y/o registrarlo.
El mecanismo de control de acceso soporta el servicio de control de acceso.
Integridad de datos. Es necesario diferenciar entre la integridad de una unidad de datos y la integridad de una secuencia de unidades de datos ya que se utilizan distintos modelos de mecanismos de seguridad para proporcionar ambos servicios de integridad.
Para proporcionar la integridad de una unidad de datos la entidad emisora añade a la unidad de datos una cantidad que se calcula en función de los datos. Esta cantidad, probablemente encriptada con técnicas simétricas o asimétricas, puede ser una infomración suplementaria compuesta por un código de control de bloque, o un valor de control criptográfico. La entidad receptora genera la misma cantidad a partir del texto original y la compara con la recibida para determinar si los datos no se han modificado durante la transmisión.
Para proporcionar integridad a una secuencia de unidades de datos se requiere, adicionalmente, alguna forma de ordenación explícita, tal como la numeración de secuencia, un sello de tiempo o un encadenamiento criptográfico.
El mecanismo de integridad de datos soporta el servicio de integridad de datos.
Intercambio de autentificación. Existen dos grados en el mecanismo de autenticación:
Autentificación simple. El emisor envía su nombre distintivo y una contraseña al receptor, el cual los comprueba.
Autentificación fuerte. Utiliza las propiedades de los criptosistemas de clave pública. Cada usuario se identifica por un nombre distintivo y por su clave secreta. Cuando un segundo usuario desea comprobar la autenticidad de su interlocutor deberá comprobar que éste está en posesión de su clave secreta, para lo cual deberá obtener su clave pública.
Para que un usuario confíe en el procedimiento de autenticación, la clave pública de su interlocutor se tiene que obtener de una fuente de confianza, a la que se denomina Autoridad de Certificación. La Autoridad de Certificación utiliza un algoritmo de clave pública para certificar la clave pública de un usuario produciendo así un certificado. Un certificado es un documento firmado por una Autoridad de Certificación, válido durante el período de tiempo indicado, que asocia una clave pública a un usuario.
2.9 IMPLICACIONES LEGALES. La seguridad informática es rica en implicaciones legales. Las leyes españolas restringen la manipulación abusiva de datos personales tan comunes como la dirección, teléfono, etc. obligando a proteger los ficheros que contengan este tipo de datos. Otros datos personales como los sanitarios, ideología, religión o vida sexual están especialmente protegidos, requiriéndose permiso escrito del afectado para su tratamiento o bien, sólo en algunas excepciones, una legislación especial. Aunque aún no se ha desarrollado un reglamento, y su incumplimiento es manifiesto, la ley está en vigor desde enero de 1992. El pasado verano la Agencia de Protección de Datos solicitó la inscripción de todos los ficheros automatizados con datos personales existentes, solicitando a la organización responsable que indicase qué ámbito tiene cada fichero, qué tipo de información guarda, etc. También el uso y la exportación de criptografía están contemplados en la legislación de muchos países despertando no poca polémica. En la mayoría de los países de nuestro entorno, incluida España, se permite libremente el uso de la criptografía pero no su exportación, basándose en el hecho de que se consideran tecnologías de doble uso que pueden tener una utilización militar. España adoptó las limitaciones a la exportación habituales dentro de la Alianza Atlántica por un Real Decreto en 1993. Finalmente la validez de la firma digital ante posibles conflictos o reclamaciones, también está perfectamente avalada en la legislación vigente. Respecto a su uso en el ámbito de la contratación privada, -para dar validez a una oferta, encargo u orden de pago hecha por medios electrónicos– la ley se refiere únicamente a que se pueda demostrar la voluntad de contratar. En el ámbito de la Administración Pública, se reconoce explícitamente la validez de los métodos electrónicos de transferencia de la información siempre que se garantice la identidad (servicio de autenticación). Esta normativa contempla tanto las relaciones entre lo diferentes departamentos como las de los administrados con la Administración. Sin embargo hay que reconocer que, ni en el derecho mercantil ni en el administrativo hay jurisprudencia en la aplicación de estas leyes, ya que los interesados que usan estos procedimiento prefieren llegar a acuerdos antes que recurrir a los tribunales. Dentro de Europa, es excepcional el caso de Francia donde el simple uso de la criptografía está prohibida a no ser que se disponga de una licencia. En sentido contrario, algunos países nórdicos no tienen ningún tipo de limitación respecto a la exportación. Hay que tener en cuenta que este tipo de limitaciones tienen muy poca efectividad ante la dificultad existente para vigilar la exportación de software.
Por otra parte, aunque se prohíba la exportación de los sistemas seguros, los algoritmos criptográficos y protocolos para la consecución de servicios de seguridad son frecuentemente públicos, con lo que los sistemas se pueden volver a desarrollar en el país de destino. 2.9.1 Firmas de comprobación aleatoria (HASH). Las funciones de comprobación aleatoria son similares a las de cifrado (de hecho, algunas de ellas son funciones de cifrado con ligeras modificaciones). La mayoría de estas funciones toma un bloque de datos y lo somete reiteradamente a una sencilla función de desordenación (scramling) para alterar sus elementos. Si esta operación se repite un cierto número de veces, no existe forma práctica conocida de predecir el resultado. Es imposible modificar un documento de un modo determinado y estar seguro de que la función de comprobación aleatoria producirá el mismo resultado. Este tipo de firma utiliza una función de comprobación aleatoria criptográficamente segura, como Message digest 5 (MD-5) o Secure Hash Algorithm (SHA), para producir un valor de comprobación aleatoria a partir de un archivo. El procedimiento de comprobación aleatoria encadena su clave secreta. El destinatario también tiene ua copia de la clave secreta y la utiliza para evaluar la firma. En el caso de CyberCoin, de CyberCash, los usuarios reciben claves secretas cuando adquieren el producto. Estas claves sólo son conocidas por su ordenador y por el ordenador central. Cuando está a punto de practicarse una transacción, se compone de un archivo que contiene el importe y los detalles, y después se firma con la clave secreta (el cliente ensambla el archivo, encadena la clave secreta, computa la función de comprobación aleatoria y, finalmente, expide el archivo y el resultado de la función de comprobación aleatoria sin la clave secreta). El banco central puede verificar esta transacción repitiendo el cálculo, ya que también conoce el valor secreto. La firma basada en comprobación aleatoria es posiblemente el menos conocido de los algoritmos de firma. Ha adquirido progresivamente mayor popularidad porque requiere una menor intensidad computacional que el resto de algoritmos. Diversos sistemas de micropagos (microcash), como Millicent de DEC o CyberCoin, emplean firmas de comprobación aleatoria para recortar los costes de procesamiento y posibilitar transacciones más pequeñas. Todos estos sistemas requieren que un servidor central verifique cada una de las transacciones, y emplear algoritmos más rápidos implica consumir menos potencia de servidor y reducir la carga del ordenador central. La principal limitación de la firma de comprobación aleatoria es que el destinatario también debe poseer una copia de la clave secreta para verificar la firma. Esto podría permitir que el receptor falsificara una firma. Mantener estas claves secretas comporta ciertas molestias, por lo que muchos usuarios emplean una infraestructura secreta compartida. 2.9.2 Desarrollo de algoritmos de seguridad
EL ALGORITMO DSS. En este algoritmo existen dos claves para cada persona. Una de ellas crea la firma y se mantiene secreta. La otra – la clave pública – verifica la firma. El DSS fue desarrollado por el U.S. National Institute of Standards and Technology (NIST) con la colaboración de la National Security Agency (NSA). Sólo están obligadas a utilizarlo las compañías que mantienen negocios con el gobierno americano, y muchas prefieren no hacerlo porque es un sistema exclusivamente de firma. El NIST eligió esta solución limitada, porque el gobierno de EE.UU. pretende desalentar el uso de cualquier software de cifrado que cercene su capacidad para fisgonear en asuntos ajenos.
El software que sólo proporciona autentificación, como el DSS, puede exportarse libremente en los productos, mientras que el software que emplea RSA para cifrado general está sometido a severas restricciones. ALGORITMO RSA. Las firmas RSA son, con mucho, las más populares, gracias en parte al márketing agresivo, la política de patentes y el desarrollo a largo plazo que ha adoptado RSA Data Security. Esta empresa controla muchas de las patentes más importantes en este campo, y aunque ha tenido que hacer frente a numerosos litigios, RSA ha sabido utilizar su posición para consolidarse definitivamente como líder. Su software y sus bibliotecas se encuentran en el núcleo de muchos productos, y la compañía sigue contando entre sus filas con algunos de los criptógrafos más reconocidos. RSA Data Security fue la firma encargada de integrar el software de firma digital con el sistema operativo Macintosh mucho antes de que floreciera el Web, por ejemplo. También añadió a PowerTalk (el software cooperativo de Apple) applets de firma de Arrastrar y soltar que permitían que cualquier usuario incrustara una firma digital en un formulario electrónico con sólo arrastralo hasta el icono. RSA Data Security ha otorgado licencia sobre sus patentes a los principales vendedores de sistemas operativos, incluidos Microsoft, IBM, Sun y Digital, y cada uno de ellos ha incorporado prestaciones similares a sus líneas de productos, aunque sin alcanzar el mismo nivel de integración. A diferencia de DSS, RSA también puede utilizarse para cifrar datos y proporcionar seguridad, además de autenticidad. Tanto en los algoritmos de clave pública como en los de comprobación aleatoria, el nivel de seguridad puede mejorarse verificando que los secretos y las claves contengan el número suficiente de bits como para resistir cualquier ataque conocido. Las firmas de comprobación aleatoria son más susceptibles de violación, dado que el secreto que se usa para crear la firma es conocido por ambas partes. Una fisura en el ordenador central o el allanamiento del domicilio del usuario podrían comprometer una firma de comprobación aleatoria. Por otra parte, la clave que genera la firma en los sistemas de clave pública sólo se guarda en el ordenador del propietario, lo que reduce significativamente los riesgos de seguridad.
SSL Handshake. Durante el hanshake se cumplen varios propósitos. Se hace autenticación del servidor y opcionalmente del cliente, se determina que algoritmos de criptografía serán utilizados y se genera una llave secreta para ser utilizada durante el intercambio de mensajes subsiguientes durante la comunicación SSL.
Los pasos que se siguen son los siguientes:
1. Client Hello: El "saludo de cliente" tiene por objetivo informar al servidor que algoritmos de criptografía puede utilizar y solicita una verificación de la identidad del servidor. El cliente envía el conjunto de algoritmos de criptografía y compresión que soporta y un número aleatorio.. El propósito del número aleatorio es para que en caso de que el servidor no posea un certificado para comprobar su identidad, aún se pueda establecer una comunicación segura utilizando un conjunto distinto de algoritmos. Dentro de los protocolos de criptografía hay un protocolo de intercambio de llave que define como cliente y servidor van a intercambiar la información, los algoritmos de llave secreta que definen que métodos pueden utilizar y un algoritmo de hash de una sola vía. Hasta ahora no se ha intercambiado información secreta, solo una lista de opciones.
2. Server Hello: El servidor responde enviando su identificador digital el cual incluye su llave pública, el conjunto de algoritmos criptográficos y de compresión y otro número aleatorio. La decisión de que algoritmos serán utilizados está basada en el más fuerte que tanto cliente como servidor soporten. En algunas situaciones el servidor también puede solicitar al cliente que se identifique solicitando un identificador digital.
3. Aprobación del Cliente: El cliente verifica la validez del identificador digital o certificado enviado por el servidor. Esto se lleva a cabo desencriptando el certificado utilizando la llave pública del emisor y determinando si este proviene de una entidad certificadora de confianza. Después se hace una serie de verificaciones sobre el certificado, tales como fecha, URL del servidor, etc. Una vez se ha verificado la autenticidad de la identidad del servidor. El cliente genera una llave aleatoria y la encripta utilizando la llave pública del servidor y el algorítmo criptográfico y de compresión seleccionado anteriormente. Esta llave se le envía al servidor y en caso de que el handshake tenga éxito será utilizada en el envío de futuros mensajes durante la sesión.
4. Verificación: En este punto ambas partes conocen la llave secreta, el cliente por que la generó y el servidor por que le fué enviada utilizando su llave pública, siendo la única forma posible de desencriptarla utilizando la llave privada del servidor. Se hace una última verificación para comprobar si la información transmitida hasta el momento no ha sido alterada. Ambas partes se envían una copia de las anteriores transacciones encriptada con la llave secreta. Si ambas partes confirman la validez de las transacciones, el handshake se completa, de otra forma se reinicia el proceso.
Ahora ambas partes están listas para intercambiar información de manera segura utilizando la llave secreta acordada y los algoritmos criptográficos y de compresión. El Handshake se realiza solo una vez y se utiliza una llave secreta por sesión. En la figura se ilustra el proceso de handshake:
Intercambio de datos: Ahora que se ha establecido un canal de transmisión seguro SSL, es posible el intercambio de datos. Cuando el servidor o el cliente desea enviar un mensaje al otro, se genera un digest (utilizando un algoritmo de hash de una vía acordado durante el handshake), encriptan el mensaje y el digest y se envía, cada mensaje es verificado utilizando el digest. Terminación de una sesión SSL: Cuando el cliente deja una sesión SSL, generalmente la aplicación presenta un mensaje advirtiendo que la comunicación no es segura y confirma que el cliente efectivamente desea abandonar la sesión SSL. 2.10 SECURE HYPERTEXT TRANSFER PROTOCOL (S-HTTP) La propuesta de S-HTTP sugiere una nueva extensión para los documentos, .shttp, y el siguiente nuevo protocolo: Secure * Secure-HTTP/1.1 Usando GET, un cliente solicita un documento, le dice al servidor qué tipo de cifrado puede manejar y le dice también dónde puede encontrar su clave pública. Si el usuario con esa clave está autorizado a acceder al documento, el servidor responde cifrando el documento y enviándoselo al cliente, que usará su clave secreta para descifrarlo y mostrárselo al usuario. Las negociaciones entre el cliente y el servidor tienen lugar intercambiando datos formateados. Estos datos incluyen una variedad de opciones de seguridad y algoritmos a utilizar. Las líneas usadas en las cabeceras incluyen:
Dominios privados S-HTTP, que especifica la clase de algoritmos de cifrado así como la forma de encapsulamiento de los datos (PEM o PKCS-7).
Tipos de certificado S-HTTP, que especifica el formato de certificado aceptable, actualmente X.509.
Algoritmos de intercambio de clave S-HTTP, que indica los algoritmos que se usarán para el intercambio de claves (RSA, fuera de bando, dentro de banda y Krb).
Algoritmos de firmas S-HTTP, que especifica el algoritmo para la firma digital (RSA o NIST-DSS).
Algoritmos de resumen de mensaje S-HTTP, que identifica el algoritmo para proporcionar la integridad de los datos usando funciones de hash (RSA-MD2, RSA-MD5 o NIST-SHS).
Algoritmos de contenido simétrico S-HTTP, que especifica el algoritmo simétrico de cifrado en bloque usado para cifrar los datos:
DES-CBC
DES-EDE-CBC
DES-EDE3-CBC
DESX-CBC
IDEA-CFB
RC2-CBC
RC4
CDMF
Algoritmos de cabecera simétrica de S-HTTP, que proporciona una lista del cifrado de clave simétrica utilizada para cifrar las cabeceras.
DES-ECB
DES-EDE-ECB
DES-EDE3-ECB
DESX-ECB
IDEA-ECB
RC2-ECB
CDMF-ECB
Mejoras de la intimidad de S-HTTP, que especifica las mejoras en la intimidad asociadas con los mensajes, como firmar, cifrar o autenticar.
Uno de los métodos de cifrado disponible en S-HTTP es el popular PGP . 2.10.2 SSL vs. S-HTTP S-HTTP y SSL utilizan aproximaciones distintas con el fin de proporcionar servicios de seguridad a los usuarios de la Red. SSL ejecuta un protocolo de negociación para establecer una conexión segura a nivel de socket (nombre de máquina más puerto). Los servicios de seguridad de SSL son transparentes al usuario y a la aplicación. Por su parte, los protocolos S-HTTP están integrados con HTTP. Aquí, los servicios de seguridad se negocian a través de las cabeceras y atributos de la página. Por lo tanto, los servicios de S-HTTP están disponibles sólo para las conexiones de HTTP. Dado que SSL se integra en la capa de sockets, también permite ser usado por otros protocolos además del HTTP, mientras que el S-HTTP está concebido para ser usado exclusivamente en comuniciones HTTP. 2.10.2 Transacción electrónica segura (SET) El estándar SET para transacciones electrónicas seguras en redes abiertas como Internet fue desarrollado por Visa y MasterCard con la asesoría de empresas como IBM, Netscape y RSA entre otras. Está basado en la criptografía más segura, la criptografía de llaves públicas y privadas RSA. SET agrupa a las siguientes entidades en un solo sistema de pago:
Tarjeta habiente: aquella persona poseedora de una tarjeta de crédito.
Emisor : entidad financiera que emite la tarjeta.
Comerciante : conocido en la literatura SET como el mercader, es la empresa que vende bienes o intercambia servicios por dinero.
Adquirente : institución financiera que establece una cuenta con el Comerciante y procesa autorizaciones y pagos.
Intermediario para pago : dispositivo operado por un adquirente o designado a un tercero para que procese los mensajes de pago, incluyendo instrucciones de pago de un tarjeta habiente.
Marcas : Las instituciones financieras emiten tarjetas con marcas en ellas, para hacer publicidad a la marca y establecen ciertas reglas de uso y aceptación de sus tarjetas y proveen redes que las interconectan a las instituciones financieras.
Terceros: los emisores y los adquirentes pueden asignar a terceros para el procesamiento de las transacciones.
Para poder hacer una transacción SET cada uno de los participantes debe estar registrado por una entidad certificadora, que como su nombre lo indica emite un certificado electrónico en el que hace constar la identidad de una entidad. SET pretende masificar el uso de Internet como "el mayor centro comercial del mundo", pero para hacerlo SET fue diseñado para lograr:
Confidencialidad de la información.
Integridad de los datos
Autenticación de la cuenta del tarjeta habiente
Autenticación del comerciante
Interoperabilidad
A diferencia de una transacción o compra persona a persona, por teléfono o correo, donde la transacción la inicia el comerciante, en SET la transacción la inicia el tarjeta habiente. Una vez todos los participantes estén registrados ante una autoridad certificadora, pueden empezar a realizar transacciones seguras. Veamos una solicitud de compra:
El tarjeta habiente inicia la solicitud luego de haber seleccionado los ítem a comprar, antes de iniciar el proceso SET, el tarjeta habiente ha sido presentado con un formulario que ha aprobado y en donde se especifican las mercancías a comprar y los términos del pago y por supuesto que tarjeta de crédito a utilizar (no el número). Para poder enviar mensajes SET, es necesario obtener una copia de la llave pública del intermediario de pago. El proceso se inicia cuando se hace una solicitud del certificado del intermediario. El mensaje del tarjeta habiente indica que tarjeta va a ser utilizada para la transacción.
El comerciante asigna un identificador único a la transacción y le envía al tarjeta habiente su certificado y el certificado del intermediario de pago para la tarjeta seleccionada además del identificador de la transacción.
El tarjeta habiente recibe la respuesta, verifica la autenticidad de los certificados. El software SET del tarjeta habiente genera la orden de compra y la información de pago y una firma doble para ambas obteniendo y concatenando los menssager digest (hash) de las dos, computando el digest de la concatenación y encriptándolo utilizando su llave privada. El software SET del tarjeta habiente genera una llave aleatoria simétrica de encriptación y la utiliza para encriptar la firma doble. Luego se encripta el número de cuenta del tarjeta habiente así como también la llave simétrica utilizando la llave pública del intermediario de pago. Finalmente se transmite el mensaje que contiene la órden de compra y la información de pago.
Cuando el comerciante recibe la orden, verifica la firma del tarjeta habiente utilizando su certificado y además chequea que el mensaje no haya sido alterado, haciendo uso del messager digest. El comerciante envía la información de pago al intermediario. Luego de procesar la información de la orden, el comerciante genera y firma un mensaje de respuesta en el que indica que la orden fue recibida. Si luego se logra autorización del pago, el comerciante envía las mercancías o presta el servicio por el que se le pagó.
Cuando el software de la tarjeta habiente recibe la respuesta del comerciante, verifica la autenticidad de éste, si todo sale bien, entonces muestra al usuario un mensaje de que la orden se realizó exitosamente. La tarjeta habiente puede luego averiguar el estado de su orden enviando una solicitud en un mensaje diferente, para saber si fue aprobado el pago, cuando le fue enviada la mercancía, etc.
Como se pudo haber dado cuenta, no es necesario hacer la autorización antes de enviar un mensaje al tarjeta habiente, este proceso se puede llevar a cabo después entre el comerciante y el intermediario de pago. El proceso es el siguiente:
El software del comerciante genera y firma una solicitud de autorización, la cual incluye la cantidad a ser autorizada, el identificador de la transacción de la información de la orden y otra información sobre la transacción. La solicitud es encriptada utilizando una nueva llave simétrica generada aleatoriemente, que a su vez sé encripta utilizando la llave pública del intermediario. La solicitud de autorización y las instrucciones de pago son entonces enviadas al intermediario. Cuando el intermediario de pago recibe la solicitud, desencripta y hace las verificaciones necesarias tanto del comerciante como del tarjeta habiente, también se verifica que el identificador de la transacción sea el mismo para el tarjeta habiente y para el comerciante. El intermediario entonces formatea y envía la solicitud de autorización al emisor de la tarjeta. Luego de recibir una respuesta, el intermediario firma y envía la respuesta al comerciante. La respuesta incluye la respuesta del emisor y una copia del certificado del emisor, opcionalmente puede haber un token de captura que el intermediario puede necesitar para procesar una solicitud de captura. Este token solo es necesario si es requerido por el adquirente.
El comerciante recibe la respuesta del intermediario, desencripta y hace las verificaciones. Almacena la respuesta de autorización y captura el token que será utilizado a través de una solicitud de captura. El comerciante entonces puede proceder a enviar las mercancías o prestar el servicio.
Luego de procesar la orden de un tarjeta habiente, el comerciante solicitará que se le pague, habrá un lapso de tiempo significativo entre la solicitud de autorización y la solicitud de pago (captura), veamos el proceso:
El software del comerciante genera y firma una solicitud de pago que incluye la cantidad final de la transacción, el identificador de la misma y otra información adicional. Nuevamente se genera una llave simétrica aleatoria, que sé encripta con la llave pública del intermediario de pago. Se envía al intermediario la solicitud de captura y opcionalmente el token de captura si esté venía en la respuesta de autorización. Varias solicitudes de captura pueden ser enviadas en un mismo mensaje para su procesamiento por lotes.
El intermediario de pago verifica la autenticidad e integridad del mensaje que le llega y utiliza esta información para hacer una solicitud de pago al emisor a través de un sistema de pago. Cuando llegue la respuesta el intermediario firma y encripta el mensaje y se le envía la respuesta al comerciante.
El comerciante almacena la respuesta para hacer balance con el pago recibido del adquirente.
Las amenazas de seguridad al comercio Internet son innumerables, pero la industria está maniobrando con rapidez para ofrecer a los consumidores un mecanismo seguro. Una vez extendidas las redes, no cabe duda de que en algunas aplicaciones telemáticas resulta imprescindible incorporar servicios de seguridad para que cubran los objetivos para los que fueron previstas. En aplicaciones de nuevo desarrollo sería conveniente que se tengan en cuenta los requerimientos de seguridad antes de su implantación. En la actualidad la tecnología existente permite incluir seguridad en las aplicaciones con unos costes razonables. Los interfaces de usuario deben ser suficientemente amigables para conseguir que los servicios de seguridad añadidos dificulten lo menos posible el manejo de las aplicaciones.
El comercio electrónico consiste en efectuar todas las operaciones inherentes al comercio convencional como comprar, vender, solicitar productos o servicios, etc., a través de un medio electrónico. Esto se realiza en dos niveles: empresa a empresa y empresa a consumidor. Cabe aclarar que en el comercio electrónico lo ideal sería que no compita con las formas habituales de comprar, las complemente. Específicamente, el comercio electrónico empresa-consumidor es aquel que se refiere a las relaciones de negocio entre el productor y el consumidor final. Los beneficios de este tipo de comercio son muy grandes; el cliente no tiene que moverse de su casa, su capacidad de elección es mucho mayor, no necesita trasladarse a los lugares de compra para buscar distintas opciones y elegir la más conveniente, además de la facilidad de comprar con un simple número de tarjeta de crédito y esperar la entrega de los productos adquiridos en su propio domicilio. Además, los riesgos existentes en este tipo de comercio se deben a la carencia de costumbre por parte del consumidor y la falta de una cultura electrónica que posibilite la masificación. También es posible que los tiempos de entrega no sean los esperados, aun así su desarrollo es alentador.
Cabe mencionar, que todos los negocios que no sean capaces de evolucionar y adoptar este sistema de comercialización, no podrán permanecer en el medio y serán destruidos por la enorme competencia. Basta con ver la tendencia de las empresas llamadas "punto-com", que día a día van desapareciendo; Es necesario el estar consientes, considerar la situación y el ver al comercio electrónico como una excelente herramienta de apoyo, pero no como único medio de hacer negocios.
Gráfica 1. Recortes en empresas punto-com durante el año 2000 Como es conocimiento de todos, una de las empresas americanas que nos puede servir de ejemplo es Amazons, quien actualmente solo a podido sobrellevar su rentabilidad, aun y cuando a su inicio era una buena promesa de negocio, a la cual muchos le apostaron invirtiendo en acciones aun y cuando esta solo tenía perdidas.
Como ya se había mencionado, una de las principales razones de esta tendencia negativa es la desconfianza del consumidor y la falta de información del mismo, también se debe a la propaganda negativa que dan las personas que por alguna razón no recibieron el servicio esperado por el negocio, ya sea por tiempo, calidad, precio o simple apatía.
Uno de los puntos clave es la seguridad, y al hablar de seguridad no sólo se refiere a que las transacciones sean seguras, sino que esa seguridad sea respaldada por una agencia externa que ofrezca este servicio, lo que le garantiza a los consumidores que no es sólo una página Web más en la Red u otro negocio dudoso que busca hacer dinero rápido y fácil.
Cuando se han estudiado las razones por las cuales las compañías llamadas punto-com han fracasado, se ha llegado a la conclusión de que no todo es por una falta de confianza y mala planeación de inversión (como todos dicen), sino por errores de mayor profundidad, como lo son el no contar con alguna ventaja competitiva (algo básico) o por no brindar beneficios tangibles a los consumidores.
Se ha discutido mucho sobre la manera correcta de hacer comercio electrónico, sobreponiendo los puntos clave que puedan llevar a un negocio a contar con ventajas competitivas y beneficios. La mayoría concuerdan con que se debe tener en cuenta desde inicios del proyecto diferentes puntos como lo son: Mercadotecnia y sus 4P´s (Producto, Precio, Plaza y Promoción), el público al cual se van a dirigir, el diseño, la publicidad y la adaptación al cambio.
3.1 CREAR UNA EMPRESA EN INTERNET Una de las dudas que se le plantea al emprendedor, tras la irrupción de Internet en el mundo de los negocios, es "cómo creo mi empresa en Internet". Hasta tal punto los "expertos de la Nueva Economía" nos han repetido que Internet lo cambia todo y que los negocios virtuales son distintos a todo lo visto jamás que muchas personas llegan a pensar que crear una empresa en Internet es algo diferente a hacerlo en el "mundo real". Vamos a examinar las características de estas nuevas empresas virtuales para comprender que no existe ninguna diferencia substancial entre crear una empresa en el mundo virtual o en el mundo real.
3.2 ¿QUÉ ES UNA EMPRESA VIRTUAL? A falta de definición formal por parte de los Nuevos Economistas, entenderemos que estamos ante una empresa virtual cuando esta empresa realice la mayor parte de su negocio "en Internet". Esto significa que se relacionará con sus clientes y proveedores vía Internet, sus procesos sean fundamentalmente automatizables en Internet y el negocio pueda en teoría "funcionar sólo". Estos negocios "sólo Internet" también tienen un nombre (en la nueva economía todo tiene un nuevo nombre, cuando no dos o tres): son los pure players, los "jugadores puros", los que sólo están en Internet.
A poco que se piense, es fácil comprobar que cualquier empresa virtual tiene, en realidad, poco de virtual. El sueño de muchos ciberemprendedores de estar tumbados en la playa mientras su "web" produce millón tras millón no es más que una falacia. Cualquier negocio real o virtual va a pedir muchas, muchas horas al equipo emprendedor, horas bien "reales".
3.3 ¿SON REALMENTE DISTINTAS LAS EMPRESAS VIRTUALES? La verdad es que resulta fácil llegar a pensar que una empresa virtual es realmente distinta a una "empresa del mundo real". Las posibilidades que brindan el uso intensivo de los sistemas de información y la capacidad de comunicación potencial con otros agentes del mercado pueden hacer que dos empresas del mismo sector, una "tradicional" y una "virtual" sean realmente distintas.
Sin embargo, en un mismo sector "tradicional" no sería difícil encontrar dos empresas que sean también totalmente distintas, ya sea por su distinta aplicación de la informática, por el ámbito regional en que operan o por su distinto uso de los canales de distribución o del marketing. Y sin embargo, nadie pensaría que están en sectores distintos. Entre las empresas en general, resulta fácil comprender que las características del negocio de, p.e., un fabricante de microprocesadores no son las mismas que las de un restaurante de una gran capital. Son empresas muy distintas; pero siguen siendo empresas "reales", nadie pensaría que pertenecen a mundos distintos.
Y, si bien, es cierto que las empresas virtuales tienen unas características distintas a las de muchos negocios tradicionales de su mismo sector (diferencias cada vez menores, porque los negocios tradicionales tampoco permanecen inmóviles), estas diferencias se han exagerado tanto que se ha llegado a crear toda una Nueva Economía. Todo esto se traduce, a efectos prácticos para el emprendedor dispuesto a crear una empresa virtual, en la necesidad de conocer estas características diferenciales para tratar de explotarlas al máximo a la vez que en la necesidad de evitar caer en la trampa de olvidar o desdeñar aspectos básicos de todo negocio, sea "virtual" o "real". 3.4 LA CREACIÓN DE LA EMPRESA VIRTUAL 3.4.1 El Plan de Empresa Previamente a la creación de toda empresa, es aconsejable que el emprendedor analice y estudie su futura empresa mediante un Plan de Empresa. De nuevo, tal vez convenga recordar que la finalidad del Plan de Empresa no es conseguir financiación de ningún business angel ni presentarse a ningún concurso de ciberemprendedores (aunque son dos aplicaciones útiles del mismo). Insistiremos una vez más en que el Plan de Empresa no es más que el producto de algo más importante que es el proceso de reflexión y análisis del futuro negocio que todo emprendedor debe realizar antes (y también después) de crear su empresa.
Por tanto, el plan de empresa de una empresa virtual no es distinto de cualquier otro plan de empresa. Con todo, dado la importancia de la base tecnológica sobre el que se asentará la nueva empresa es conveniente un análisis lo más completo posible de este punto. También deberán estudiarse detalladamente los procesos automatizables (incluyendo las relaciones con clientes y proveedores) pues lógicamente estos procesos serán los primeros en implantarse en el "servidor web" de la nueva empresa. 3.4.2 El proceso de creación Una vez decidida la creación de la empresa virtual, el proceso de constitución formal es idéntico al de una empresa normal. En este punto es muy importante no caer en algunas trampas que esperan a una nueva empresa virtual, especialmente la fundado por el emprendedor "técnico experto en Internet" que jamás ha conocido el funcionamiento completo de una empresa.
Como quiera que técnicamente es muy sencillo "crear una web desde casa" y "empezar a vender", el emprendedor puede caer en la tentación de pensar que no está sujeto a las leyes y reglamentos que rigen para el resto de empresas. Sin embargo, el ejercicio de cualquier actividad económica está sujeto a obligaciones formales y a impuestos diversos. El emprendedor no debe pensar que ya se ocupará de los aspectos legales cuando la cosa vaya bien. Legalmente es obligatorio resolver determinados aspectos legales antes de empezar.
Otra trampa no menos importante, es creer que la facilidad "para empezar" va a mantenerse siempre y la empresa quedará libre de cargas propias de las "antiguas empresas", cosas desagradables como alquiler de locales o los contratos con el personal. Si la empresa realmente empieza a funcionar, pronto, muy pronto, el nuevo emprendedor descubrirá que su empresa y sus problemas no tienen nada de virtuales.
Y para empeorar la situación, la actividad en Internet es fundamentalmente internacional. Esto complica las cosas pues aparecen temas que muchas empresas "tradicionales" no deben contemplar como transportes internacionales y aduanas, distintos idiomas y legislaciones, horarios diversos, etc…
Todos estos puntos deben considerarse al crear una empresa virtual, y sobretodo, mantenerse alerta y con capacidad suficiente para adoptar los rápidos cambios que esperan a un negocio en Internet que empieza a prosperar (y en Internet puede empezar a prosperar en semanas).
3.4.3 Características propias de la empresa virtual Ya hemos intuido algunos aspectos diferenciales de las empresas "virtuales". Examinemos con detalle otros no menos importantes. Con todo conviene advertir que de la misma manera que las empresas tradicionales son realmente distintas entre sí, las empresas "virtuales" también pueden llegar a ser muy distintas entre ellas (basta pensar en la diferencia entre dos negocios como Yahoo! y Amazon) por lo que las características que se citan a continuación deben ser revisadas y ampliadas para cada nuevo negocio virtual.
3.4.3.1 Tecnología Internet Por definición, una empresa virtual sería aquella que desarrollara todo su negocio en ese "mundo virtual". Para entender qué es el "mundo virtual" hay que comprender qué es Internet. Internet es simplemente una enorme red de ordenadores y su finalidad era, es y será comunicar a las personas que usan esos ordenadores. Comprender este simple hecho, básico pero fundamental, ayudará a no perderse entre las "maravillas" (y algunas tonterías) de la Nueva Economía.
3.4.3.2 Red de ordenadores
El elemento fundamental que soporta Internet es el conjunto de ordenadores y, cada vez más, otros elementos activos como teléfonos móviles y otros aparatos electrónicos. Estos "nodos" se conectan mediante un sistema de comunicaciones de manera que desde cualquier punto debería ser posible alcanzar cualquier otro punto de la red.
A efectos prácticos para la nueva empresa esto significa que se va a hacer un uso intensivo de la informática. Tal vez esto no sea problema para el típico técnico-ciberemprendedor, pero puede ser un problema cuando busque personal y puede ser una catástrofe si son *sus clientes potenciales* los que tienen dificultades en el uso de su sistema. Conviene tener muy presente este aspecto básico del negocio, que por obvio no debe de dejar de analizarse.
3.4.3.3 Comunicación entre personas
La finalidad de Internet es la de permitir comunicarse con otras personas. (Aunque existe una curiosa aplicación de Internet consistente en crear un gran negocio fantasma para luego vendérselo a algún incauto por mucho dinero) Y la finalidad de los negocios en Internet es obtener provecho de esas posibilidades de comunicación entre los distintos agentes del mercado: las empresas y sus clientes, los proveedores, empleados, la inevitable Hacienda Pública, etc. Esto implica que un negocio en Internet debe ser esencialmente capaz de comunicarse y hacerlo con las características propias del medio, es decir, de forma flexible e interactiva. Una empresa no está en Internet porque tiene una "página web", pero si lo estará si usa eficientemente su correo electrónico. Las empresas virtuales deberán centrarse en estos aspectos de comunicación más allá de donde llegan la empresas tradicionales. Finalmente, si bien comunicarse, p.e., con los clientes es bueno y comunicarse mucho con los clientes es mejor, soportar una avalancha de pedidos, o peor de quejas, puede superar la capacidad de respuesta de la empresa. 3.4.3.4 El Marketing en Internet Uno de los nuevos descubrimientos de la Nueva Economía es el Marketing en Internet. En realidad el Marketing en Internet como tal no existe. Existe el Marketing (el de toda la vida) y, como consecuencia de las dos características anteriores (red de ordenadores y comunicación flexible), surgen nuevas e interesantes posibilidades de comunicación y promoción con el mercado y los clientes que antes eran impensables.
Por tanto, un factor diferencial de las empresas virtuales está en los métodos y técnicas que usan para contactar, negociar y relacionarse en general con sus clientes. Usar métodos de comunicación tradicionales en un medio como Internet puede no dar los resultados deseados. Y no sólo es la "comunicación y promoción" de productos lo que debe revisarse al entrar en Internet, incluso el "precio" o hasta el "producto" debe ser objeto de análisis y reflexión.
3.4.3.5 Globalización Ya hemos visto el aspecto internacional inherente a Internet. No hay diferencia en estar en Internet para los compatriotas y estarlo para los extranjeros. Esto significa que, incluso en el caso de que no lo desee, clientes potenciales (y proveedores) de cualquier parte del mundo pueden comunicarse con su empresa. No estaría de más tener una política clara a este respecto. Internacionalizar una empresa puede ser positivo… siempre que eso forme parte de su estrategia.
De cara a la nueva empresa virtual, este aspecto puede presentar su vertiente positiva desde el momento en que el mercado potencial es enorme en comparación con el mercado local. Pero también presenta sus complicaciones derivadas de las distintas reglamentaciones y leyes de los distintos países o, simplemente, de la capacidad de operar en distintos idiomas o monedas (de nuevo, potencialmente, todos!).
3.4.3.6 Logística Como consecuencia de esta capacidad de vender globalmente, la nueva empresa virtual debe estar preparada para transportar sus productos hasta sus clientes. Si un emprendedor crea una nueva tienda "real" esperará que los clientes vengan a comprar a ella. Pero si crea una tienda "virtual" en Internet, entonces son los clientes quienes esperarán que les llevan los productos hasta su casa. Las complicaciones derivadas de este pequeño detalle pueden dar al traste con más de una idea de negocio. 3.4.3.7 Teletrabajo Internet permite, a priori, que los empleados de una nueva empresa trabajen en lugares distintos. Esto puede suponer una pequeña ventaja para la empresa virtual al implicar un menor coste derivado del mantenimiento de una oficina, p.e. Pero de nuevo, conviene no dejarse engañar por esta pequeña "ventaja" inicial. Si las cosas prosperan, la empresa virtual necesitará pronto (y en Internet, pronto es realmente pronto) empleados a tiempo completo bien comunicados y coordinados … tal como lo están en una misma oficina. 3.5 LA ENTREGA DEL MATERIAL Otro de los problemas actuales al que se enfrentan las empresas virtuales es el de la entrega del material. Lo que en muchos comercios es algo tan simple como llenar una bolsa que se llevará el cliente, en una empresa virtual se convierte en hacer llegar la compra a la dirección que nos indique el cliente, en perfectas condiciones del producto y, si puede ser, hacerlo ya.
Si el negocio virtual vende información, puede ser relativamente fácil entregarla de forma inmediata, pero como saben las primeras empresas virtuales que intentan servir alimentos o productos perecederos, un pequeño retraso en la entrega puede convertirse en algo realmente desagradable para el cliente.
La entrega de pequeñas mercancías pueden suponer un costo de transporte superior al importe de la misma compra, lo que provoca que muchos clientes desistan en su pedido. El servicio de entrega estará normalmente en las manos de empresas terceras con el consiguiente riesgo para nuestra reputación en caso de problemas. La facilidad de compra por parte de clientes desde el extranjero puede quedar anulada por la dificultad de entrega del material bien sea por motivos de costes o de aduanas. Todo eso por no contar con Hacienda y la complejidad que en determinados casos puede suponer el cálculo de los impuestos indirectos sobre las ventas. Empieza a quedar claro que no todos los negocios se adaptan por igual a la idiosincrasia del comercio electrónico. Y aún así, debe quedar claro que "montar una empresa virtual" es algo que va mucho más allá del aspecto meramente tecnológico.
3.6 LA "TRAS-TIENDA" VIRTUAL DE TODA EMPRESA VIRTUAL Como en toda empresa, en nuestra empresa virtual será necesario desenvolverse con facilidad por la trastienda. Ya hemos visto la necesidad de gestionar fácil y correctamente un amplio catálogo de productos. 3.6.1 Procesos internos Normalmente, será el software del e-commerce el que proporcione capacidades de gestión de mercancías, almacenes, proceso de pedidos, facturación, etc. Y desde luego es importantísima la integración de los módulos de la empresa virtual con el resto del Sistema de Información de la empresa. El paso de datos a contabilidad, control de almacén, facturación y cuentas a cobrar debería estar automatizado en la medida de lo posible. Y no sólo es una buena idea integrar la Empresa Virtual en nuestro Sistema de Información, también puede ser competitivamente ventajoso estar conectados con nuestros proveedores de mercancías y los servicios de logística para poder proporcionar información puntual y exacta a los clientes que pregunten acerca de sus pedidos pasados, presentes o incluso futuros.
| Página siguiente |