• Author / Uploaded
• Diego Miguel Vasquez Cornejo

• Categories
• Cortafuegos (Informática)
• Internet
• Archivo de computadora
• Servidor web
• Autenticación

Citation preview

AGRADECIMIENTOS Debo destacar el apoyo incondicional de mi familia, quienes supieron guiarme en este camino tan arduo llamado vida. También deseo agradecerles por adelantado porque se que me seguirán apoyando y ayudando siempre que los necesite.

1

TÍTULO: ELABORACIÓN DE UNA METODOLOGIA PARA IMPLANTAR POLÍTICAS DE SEGURIDAD EN LOS E-COMMERCES

2

INDICE Agradecimientos

1

Título de tesis y asesor

2

Índice

3

Introducción

4

Planteamiento del problema

7

Selección y fundamentación

7

Descripción del problema

9

Formulación del problema

9

Justificación del problema

9

Limitaciones Objetivos

10 10

Objetivos Generales

10

Objetivos Específicos

11

Hipótesis

11

Indicadores o Variables

11

Relevancia Social

12

Marco Teórico

12

Seguridad en el Comercio Electrónico

13

Aporte de la Encriptación

15

El Comprador y la Empresa Vendedora

16

Seguridad Organizacional/Operacional

17

Seguridad Física

17

Controles de Seguridad Física y de entorno ISO 17799

18

Seguridad en Comunicaciones

19

Seguridad en Infraestructura

19

Herramientas para proteger un sitio de e-commerce

20

Seguridad Lógica

21

Los Filtros

21

Repetidor (Hub)

22

Puente (Bridge)

22

3

Encaminador (Router)

22

Nivel de Red

22

Nivel de Aplicación

23

Nivel de Agente Activo

23

La Encriptación

24

Sistema de Detección de Intrusos IDS

24

Firma Digital

24

Protocolo SET

25

Firmas Electrónicas

26

Public Key Infraestructura

26

Certificado de autenticidad

28

Criptografía

28

Hackers

29

Glosario

30

Conclusiones

38

Anexos

43

Bibliografía

50

4

INTRODUCCIÓN La utilización creciente de la tecnología de información en virtualmente todos los ámbitos de la actividad económica, pública o privada, parece mostrar que es merecedora de confianza Basta la experiencia común para percibir la dependencia de las organizaciones (y la sociedad en su conjunto) de una tecnología que se ha desarrollado en cinco décadas aun ritmo desconocido en la historia de las invenciones. A su vez ha influido en la innovación de los campos del saber a los que se ha aplicado. Desde el principio la información debía tener las siguientes características:  Privacidad  Autenticidad  Disponibilidad  Integridad No mucho tiempo atrás el control de acceso a datos, era satisfactoriamente llevado a cabo por el Mainframe, que centralizaba las invocaciones y el control de acceso, garantizando así la seguridad necesaria para que los datos tuvieran las características deseadas. Los computadores y la seguridad de datos han ido evolucionando con la tecnología pero el objetivo sigue siendo básicamente el mismo. En los 70’s surge ARPAnet, que interconectaba departamentos de investigación de varias universidades y diversas oficinas gubernamentales de defensa de los EE.UU, hasta ese momento los usuarios conectados tanto a los mainframe como a esta red, eran una audiencia selecta cuyos límites eran bien conocidos.

5

Aunque las nuevas tecnologías mejoran los sistemas de seguridad, también hacen la vida diaria más vulnerable. El precio por aumentar la protección será vivir en un sistema de cerrojos electrónicos, sistemas de alarma y patrullas de policía en línea telefónica. La dependencia respecto a la Tecnología de la información y la necesidad de un desarrollo sostenido de la Sociedad de la Información reclaman establecer fundamentos sólidos de confianza. Lo que significa aplicar salvaguardas o defensas (técnicas y

administrativas) para controlar el

riesgo, así como disponer de legislación que sirva para marcar las reglas de juego, dirimir las discrepancias y castigar el delito. Se trata de actuaciones completas en sí mismas y en sus relaciones, pero ya no es admisible demora en su establecimiento. Sólo así se pueden aprovechar con tranquilidad de los recursos y las oportunidades que la Sociedad de la Información ofrece a las relaciones económicas o personales. Debido a que Internet se ha convertido en el medio más popular de interconexión de recursos informáticos, no podemos aceptar esa afirmación popular que dice que el computador más seguro es aquel que está apagado y, por tanto, desconectado de la red. Actualmente existe mayor facilidad para realizar un ataque al disponer de tecnología más sofisticada, asimismo la tecnología nos brinda herramientas para hacer frente a estas amenazas, controlar los riesgos y conseguir que la información, el activo más valioso de la Sociedad de la Información posea lo que se buscó desde el principio:  Privacidad  Autenticidad  Disponibilidad  Integridad

6

1. PLANTEAMIENTO DEL PROBLEMA

1.1SELECCCIÓN Y FUNDAMENTACIÓN: En la actualidad el acceso a información a través del Internet está al alcance de todos, sin embargo en determinadas circunstancias se debería de poder restringir el acceso a la información. Se pueden establecer dos tipos de restricciones:  Limitación de acceso en función de direcciones IP o dominio: Sólo los usuarios de un dominio u organización tendrán acceso a la información.  Limitación de acceso por nombres de usuario y claves de acceso: Sólo los usuarios que conozcan una clave de acceso válida pueden acceder a la información. Otro aspecto que está cobrando especial importancia es la seguridad de la información que se intercambia en la Web. La explotación comercial de Internet exige disponer de sistemas de comunicación seguros, capaces de adaptarse a las necesidades de los nuevos servicios, como la compra electrónica o la banca a distancia. En estos servicios, se manejan dos conceptos fundamentales, la autentificación (garantizar que tanto el usuario de un cliente Web como un determinado servidor de información son quienes dicen ser) y la confidencialidad (hacer que la información intercambiada no pueda ser interceptada por terceros). Con los sistemas de comunicación actualmente en uso, es técnicamente posible seguir un enlace de comunicaciones e interceptar el contenido de las comunicaciones TCP/IP que por él se transmiten. Cuando se envía información privada, por ejemplo un número de tarjeta de crédito en un formulario de compra, es vital garantizar que la información sea recibida exclusivamente por su destinatario, y que la identidad es la esperada.

7

El control de acceso a la información se utiliza para limitar el acceso a determinados documentos de un servidor Web, en función del origen y tipo de petición. La forma de hacerlo varía con el entorno en el que se publican las páginas (sistema operativo y servidor HTTP, principalmente); en general, todas las soluciones pasan por definir un fichero que contiene las diferentes limitaciones de acceso, en un formato característico del servidor HTTP. En algunos casos se utiliza un fichero global con las restricciones de acceso o bien un fichero por cada directorio al que se quiere limitar el acceso. Cuando un cliente Web accede a un fichero protegido, el servidor devuelve un código de error asociado a la falta de permisos para realizar la operación (código 401). Si el acceso se realiza desde un dominio o dirección IP restringida, no será posible acceder a la información desde ese sistema. Cuando la protección se basa en nombres y claves de acceso, el browser (navegador) solicitará estos datos y los enviará al servidor para que sean verificados. Las claves de acceso se envían al servidor por diferentes sistemas, sin codificar (sencillo pero inseguro) o codificadas (DES o Kerberos, por ejemplo). Será el propio servidor HTTP el que informe sobre la manera en que se deben enviar estas claves de acceso. Por lo expuesto anteriormente, se considera que el énfasis en este tema no es debidamente tenido en cuenta y es por ello que los servidores web son tan fácilmente vulnerados por hackers. Es por lo anteriormente expuesto, que se desea que el presente documento sirva cómo guía para poder colocar una mayor seguridad en el acceso a servidores web pudiendo utilizar diferentes sistemas de seguridad en estos para mantener invulnerable la línea mientras se procede al envío de información, tanto para mantener la confidencialidad de la información y la autentificación del usuario.

8

1.2DESCRIPCIÓN DEL PROBLEMA: Internet ha comenzado una revolución tanto o más grande que la industria y no podemos quedarnos atrás en los cambios que ha originado, sobre todo en la forma de hacer negocios, sin embargo en nuestro medio, los usuarios finales no cuentan con información clara de cómo involucrarse en esta revolución de manera segura. No se dispone de una guía para la selección de una solución de seguridad. El usuario final en nuestro medio no dispone de información en el entorno que gira alrededor del tema de comercio electrónico, ni tampoco de criterios para decidir cuando debe aplicar seguridad del tipo de firmas digitales, u otros tipos de seguridad. La vulnerabilidad de los servidores web en esta época aún es un dolor de cabeza para los programadores, la cantidad de maneras en que se puede atacar a los servidores aumenta cada día, es por ello que la seguridad en estos tipos de servicios debe estar garantizada para evitar el robo de información que puede ser de vital importancia para una empresa. En esta tesis se proyecta obtener las mejores medidas de seguridad para evitar el ingreso de terceros a la hora del envío de información tanto como para evitar el acceso al servidor a través del acceso con autentificación falsa 1.3FORMULACIÓN DEL PROBLEMA: ¿En qué medida la elaboración de una metodología para implantar las políticas de seguridad en los e-commerces soluciona los problemas de seguridad? 1.4JUSTIFICACIÓN DEL PROBLEMA: La vulnerabilidad en los servidores web ha alcanzado su cumbre en estos años, servidores que se creían eran invulnerables como el Apache han dado

9

ha conocer que también poseen una seguridad limitada y son susceptibles a ataques de hackers. Actualmente, el desarrollo de Internet involucra un aspecto fundamental denominado Seguridad por el que muchas de las empresas que implementan comercio electrónico han gastado gran parte de sus recursos en hacer de esta una piedra angular de toda su estructura. Debido a esto, antes de comenzar la implementación de cualquier sitio Web es necesario conocer, las rutinas de seguridad mínimas que deben poseer tanto nuestro servidor como nuestras aplicaciones. Sin ellas, cualquier intento de desarrollo es absolutamente vulnerable a los frecuentes ataques por parte de hackers o simples ataques benignos por parte de curiosos. En los próximos años, los métodos de seguridad aumentaran para dar paso a una sensación de seguridad mayor de la que hoy en día existe. 1.5LIMITACIONES: Las limitaciones encontradas en el proyecto son: la necesidad de elaborar una metodología que permita implantar políticas de seguridad, otra limitación es la tecnología con que actualmente cuentan las diversas empresas en la ciudad, otra limitación es el financiamiento del proyecto. 2. OBJETIVOS:

a. OBJETIVOS GENERALES:  Establecer los pasos necesarios para la implementación de un sitio seguro de e-commerce, todo ello bajo el marco legislativo, normas y leyes del país en donde este se encuentre, asimismo presentar los elementos involucrados en el tema de comercio electrónico

10

b. OBJETIVOS ESPECÍFICOS:

 Elaborar

una guía práctica para la elección de estándares de

seguridad en los e-commerces.  Permitir la transacción de dinero de manera confiable al realizar una compra online.  Restringir el acceso de personas ajenas a la transacción (hackers). 3. HIPOTESIS:

¿En qué medida la elaboración de una metodología para implantar las políticas de seguridad en los e-commerces solucionará los problemas de seguridad? 4. INDICADORES O VARIABLES:

Para poder obtener indicadores que hagan factible la investigación se tiene que usar un método denominado “Ethical Hacking” o Prueba de vulnerabilidad,

el cual es un conjunto de metodologías y técnicas para

evaluar íntegramente las debilidades en los e-commerces, esta prueba consta de dos grandes fases:  Ethical Hacking externo: El objetivo de esta prueba es acceder en forma remota a los equipos de la organización en estudio y posicionarse como administrador del sistema. Este método esta compuesto de un gran número de pruebas pero se pueden obtener los siguientes indicadores de medición: Variable dependiente  Seguridad de las conexiones externas Variable independiente  Fortaleza de los password  Forma de trabajo de proveedores, trabajadores remotos o entidades externas a la organización  Pruebas de usuario 11

 Captura de tráfico  Ethical Hacking interno: El objetivo de esta prueba es demostrar cuáles el nivel de seguridad dentro de la organización, se trata de comprobar que no halla ningún Insider (persona que se adentra en una organización con propósitos deshonestos) y hasta donde será

capaz de ingresar con los

privilegios de usuario que posee Variable dependiente  Seguridad en la red interna Variable independiente  Autenticación de usuario  Protocolos internos y sus vulnerabilidades  Verificación de reglas de acceso  Ataques de denegación de servicio  Seguridad en las estaciones de trabajo 5. RELEVANCIA SOCIAL:

El presente proyecto beneficia a los administradores de los e-commerces, también beneficia a los servicios de pago en línea o instituciones bancaria con quien se interactúe y también a los usuarios del servicio.

12

6. MARCO TEORICO:

La seguridad en el comercio electrónico y específicamente en las transacciones comerciales es un aspecto de suma importancia. Para ello es necesario disponer de un servidor seguro a través del cual toda la información confidencial sea encriptada y viaje de forma segura, esto brinda confianza tanto a proveedores como a compradores que hacen del comercio electrónico su forma habitual de negocios. Al igual que en el comercio tradicional existe un riesgo en el comercio electrónico, al realizar una transacción por Internet, el comprador teme por la posibilidad de que sus datos personales (nombre, dirección, número de tarjeta de crédito, etc.) sean interceptados por "alguien", y suplante así su identidad; de igual forma el vendedor necesita asegurarse de que los datos enviados sean de quien dice serlos. Por tales motivos se han desarrollado sistemas de seguridad para transacciones por Internet: Encriptación, Firma Digital y Certificado de Calidad, que garantizan la confidencialidad, integridad y autenticidad respectivamente. * Seguridad en el Comercio Electrónico: Internet es una red insegura para todo tipo de operaciones. La única forma de poder hacer transacciones seguras es imponiéndole mecanismos de seguridad a cada una de ellas. Una de las leyes fundamentales de la seguridad informática dice que «el grado de seguridad de un sistema es inversamente proporcional a la operatividad del mismo». Esto se debe a que darle a un sistema un determinado grado de seguridad, aunque sea mínimo, implica imponer algún tipo de restricción, lo que forzosamente disminuirá la operatividad con respecto al estado anterior en el que no se tenía seguridad.

13

Internet es una red insegura, porque fue diseñada con un alto nivel de operatividad. No está mal que sea insegura, ni se trata de un error de diseño, sino que para que cumpliera la función para la cual se la creó debía tener el más alto grado de operatividad, lo que trae como consecuencia un alto nivel de inseguridad. No es cierto que, por implantar determinados mecanismos de seguridad automáticos, Internet se vuelve segura. El parámetro fundamental a tener en cuenta, ya sea uno un usuario final o una corporación, es el siguiente: «Cuando se conectan dos sistemas, uno seguro y otro inseguro, el grado de seguridad no se promedia, sino que pasa a ser el del más inseguro para todo el sistema». Por lo tanto, a partir de la conexión de un sistema seguro (el suyo propio) con otro inseguro (Internet) se deberá aumentar el grado de seguridad. Dicho de otra manera: «Cada vez que se agregue algo a un sistema que lo vuelva más abierto (por ejemplo una conexión a Internet) se deberá actualizar la estrategia de seguridad informática del mismo». Las notas de compra que completa el usuario en su computadora son enviadas por Internet a la empresa vendedora en forma de mensaje. Como estas notas contienen información sensible (número de la tarjeta de crédito del comprador), y como cualquier tipo de mensaje que circula por Internet puede ser interceptado por un intruso con el fin -entre otros- de obtener números de tarjetas de crédito en vigencia, es necesario utilizar algún mecanismo de seguridad que minimice este riesgo. La posibilidad de que un intruso intercepte un mensaje que circula por Internet no se puede evitar, pues es parte de la inseguridad propia de Internet. Poniéndonos en el caso más desfavorable, que implicaría que todo

14

mensaje que enviemos por Internet será interceptado, lo que tenemos que lograr es que, una vez que sea interceptado, la información que contiene no sea útil para el intruso. Una forma de lograr esto es por medio de la encriptación de la información del mensaje.

* Aporte de la Encriptación: La encriptación aplicada a un caso como éste funciona codificando por medio de una clave la información que contiene el mensaje. De esta manera, el contenido sólo puede ser conocido por quienes tengan la clave para decodificarlo (el comprador y la empresa vendedora). Aunque un intruso intercepte el mensaje, lo que verá en él le resultará incomprensible, pues no tiene la clave de decodificación para hacerlo legible. En la práctica, estos mecanismos se implementan con sistemas de doble encriptado o de clave pública, que además de tener un buen nivel de seguridad contra ataques de decodificación, permiten determinar que el mensaje ha sido generado por una determinada persona.

15

* El Comprador y la Empresa Vendedora: En una transacción comercial física, la identidad del emisor puede ser probada por medio de un documento, y la de la empresa vendedora por medio de sus comprobantes de venta. Pero una de las características más particulares de la comunicación electrónica (como es la comunicación a través de Internet), es la capacidad de anonimato y de presentarse bajo una identidad falsa. El sistema de doble encriptado garantiza que la orden de compra fue emitida por el propietario de una determinada dirección de correo electrónico, pero la pregunta que surge es: ¿Será el propietario de esa dirección de correo electrónico quien dice ser, y por lo tanto el titular de la tarjeta de crédito? Con respecto a la empresa vendedora también cabe preguntarse: ¿La página web que estoy viendo en la pantalla de la computadora es auténtica o sólo es una trampa para recolectar números de tarjeta de crédito de incautos? El mecanismo propuesto para estos casos es el uso de Certificados Digitales emitidos por una Autoridad de Certificación. La Autoridad Certificadora se encarga de certificar que una determinada dirección de correo electrónico pertenece a una persona específica, y que una determinada dirección de página web pertenece a una empresa específica. De esta manera, por medio de la AC quedarían aseguradas las identidades del comprador y de la empresa vendedora. El grado de seguridad y el de operatividad de un sistema son inversamente proporcionales, tal como se ha visto líneas arriba; es por esto que el arte del consultor en seguridad informática, consiste en llevar un sistema a una relación de equilibrio entre estos dos factores.

16

En una transacción electrónica ideal el comprador y la empresa vendedora se comunican a través Internet. La empresa llega al comprador a través de su página Web, que debería estar certificada en cuanto a su identidad por una AC. Los pedidos del usuario llegan a la empresa vendedora por medio de un mensaje protegido por encriptación, para que, en caso de ser interceptado, no se conozca el número de tarjeta de crédito. La identidad del usuario también debería estar certificada. La entidad crediticia que emite la tarjeta de crédito seguirá existiendo para avalar el crédito del usuario hasta que se implementen otros mecanismos de pago como el dinero electrónico. * Seguridad Organizacional/Operacional: Actualmente es claro que las organizaciones son cada vez más dependientes de sus recursos informáticos, y vemos también que a la par de ellos las organizaciones diariamente enfrentan una serie de amenazas que de concretarse afectarían dichos recursos. La mayoría de los sistemas de información no son inherentemente seguros y las soluciones técnicas son sólo una parte de la solución total del problema de seguridad En esta parte se hallan partes de gran interés como:  Recuperación de desastres  Seguridad Física  Forénsica  Educación y Documentación * Seguridad Física: Se argumenta que la seguridad perfecta sólo existe en un cuarto sin puertas, pero eso naturalmente es imposible, en la actualidad el objetivo es prevenir, detectar y detener las rupturas de seguridad informática y de las organizaciones. ISO 17799 ofrece un marco para la definición de la seguridad informática en la organización y ofrece mecanismos para administrar el proceso de seguridad.

17

 Controles de Seguridad Física y de entorno ISO 17799 Este estándar proporciona a las organizaciones los siguientes beneficios entre otros:  Una metodología estructurada reconocida internacionalmente  Un proceso definido para evaluar, implementar, mantener y administrar seguridad informática.  Una certificación que permite a una organización demostrar su status en seguridad ISO 17799 contiene 10 controles de seguridad, los cuales se usan como base para la evaluación de riesgos, entre los 10 controles mencionados se encuentran aquellos orientados a organizar la Seguridad Física y del entorno. Los controles de seguridad física manejan los riesgos inherentes a las instalaciones de las empresas, e incluyen:  Ubicación: Se deben analizar las instalaciones de la organización, considerando la posibilidad de un desastre natural.  Seguridad del Perímetro Físico: El perímetro de seguridad de las instalaciones debe estar claramente definido y físicamente en buen estado, las instalaciones pueden dividirse en zonas, basándose en niveles de clasificación u otros requerimientos de la organización.  Control de Accesos: Las aperturas en el perímetro de seguridad de las instalaciones deben contar con controles de ingreso/salida proporcionales con el nivel de clasificación de la zona a la que afecta.  Equipamiento: 18

Los equipos deben estar situados en una zona de las instalaciones que asegure, físicamente y en su entorno, su integridad y disponibilidad  Transporte de bienes: Mecanismos para el ingreso o salida de bienes a través del perímetro de seguridad  Generales: Políticas y estándares, como la utilización de equipos de destrucción de documentos, almacenamiento seguro y regla de “escritorio limpio”, deben existir para administrar la seguridad operacional en el espacio de trabajo * Seguridad en comunicaciones: Internet sin lugar a dudas ha revolucionado el mundo de la informática y el de las comunicaciones, es al mismo tiempo un canal de transmisión mundial, un mecanismo para la distribución de información y un medio para la

interacción

y

colaboración

entre

individuos,

organizaciones

y

computadoras sin importar la ubicación geográfica de éstos. En cualquier caso la interacción y colaboración entre dos entidades se desarrolla en base a la comunicación entre ellas y tiene como pre-requisito la confianza, que se construye y se genera en base a la seguridad. * Seguridad en Infraestructura: La progresiva descentralización de las arquitecturas informáticas implica la necesidad de una mayor atención a los accesos, en el doble sentido de facilitar los accesos autorizados e impedir los no autorizados, estos últimos calificados como intrusiones, los mecanismos para controlar estos accesos se basan en la comparación de algún contenido del mensaje o elemento que pretende pasar al dominio controlado con una información de referencia, dicho contenido puede ser una información explícita, por ejemplo

19

una contraseña, o bien información que exija un análisis estructural del mensaje para descubrir un patrón catalogado, sea de infección (virus, Worms, etc) o de modificación (intrusión). En todos los casos, el resultado de la comparación conlleva a decisiones de “apertura” o “cierre” de puertas, seguidas de otras posibles medidas de salvaguarda. * Herramientas para proteger un sitio de E-commerce: Las estructuras de seguridad de un sitio de e-commerce no varía con las de un sitio tradicional, pero si se implementa el protocolo SSL en la mayoría de los casos para tener un canal seguro en las transacciones.

Punto1: Usuario

conectándose

a

Punto2

(un

sitio

de

e-commerce

como

amazon.com) utilizando un navegador Internet Explorer compatible con el protocolo SSL. Punto2: El Punto2 como nombramos es un sitio de e-commerce tradicional (compra / venta) que establece conexiones seguras utilizando SSL para la

20

transacciones, y también posee un Firewall para hacer filtrado de paquetes (Packet Filtering) Punto3: Este punto es la autoridad que emite los Certificados de Autenticidad, en inglés Certificate Authority (CA) que por seguridad y es recomendable que sea una tercera empresa el emisor del certificado no sea interno. * Seguridad Lógica: Existe un viejo dicho en la seguridad informática que dicta que “todo lo que no está permitidos debe estar prohibido” y esto es lo que debe asegurar la Seguridad Lógica, podemos pensar en la seguridad lógica como la manera de aplicar procedimientos que aseguren que sólo podrán tener acceso a los datos las personas o sistemas de información autorizados para ello. Los objetivos que se plantean serán:  Restringir el acceso al programa y los archivos  Los operadores deben trabajar sin supervisión minuciosa y no podrán modificar ni programar archivos que no correspondan  Asegurar que se están usando todos los datos, archivos y programas correctos en y por el procedimiento correcto  Asegurar que la información transmitida sea recibida sólo por el destinatario al cual ha sido dirigida y por ningún otro.  Asegurar que la información que el destinatario ha recibido sea la misma que ha sido transferida  Se debe disponer de sistemas alternativos de transmisión de información entre diferentes puntos. * Los Filtros: Los mecanismos de filtro que se instalan en los nodos-conectores de las redes tienen como función controlar el acceso de terceros a los flujos de

21

información. Los nodos pueden ser de 3 tipos según su nivel OSI y su función:  Repetidor (Hub), Nivel1, Físico: Se emplea en un mismo edificio para enlazar equipos comunicados directamente.  Puente (Bridge), Nivel2, Enlace: Enlaza dos subredes y copia el tráfico de una a otra cuando su origen y destino están en cada orilla. El puente aprende de manera dinámica que equipos se encuentran en cada subred y distribuye tráfico y evita saturaciones en el mismo edificio.  Encaminador (Router), Nivel3-4, Red-Transporte: Enlaza dos redes unidas por canales externos al edificio atendiendo direcciones de red; por lo tanto suele clasificar los paquetes por protocolo y exigir mecanismos de filtrado específico. Un firewall es un mecanismo de filtro avanzado que protege la confidencialidad e integridad de la información que lo atraviesa, protege una red de otra en la que no se tiene confianza, su función es básicamente separar la red interna de una organización de Internet. Funcionalmente el firewall es un dispositivo lógico que tiene funciones de separación, limitación y análisis del flujo de la información que circula entre sus dos puertas, como ejerce un control de acceso centralizado, su efectividad exige que

lo

atraviese todo usuario interno/externo/remoto para acceder desde/a las redes internas protegidas. Los firewall pueden trabajar en tres niveles:  A nivel de red: También llamado filtrado de paquetes o “apantallado”, suele ser un router con filtros que usa reglas para conceder o denegar el paso de los paquetes basándose en sus direcciones (fuentes, destino y puerto). Su coste es bajo, es rápido, seguro, flexible y transparente, 22

pero poco seguro, pierde el control tras dar el acceso, no protege de direcciones enmascaradas (“spoofing”), no da información de registro  A nivel de aplicación: Se suele llamar sistema Proxy, funciona como “apoderado” de los usuarios internos que solicitan servicios a los servidores externos de Internet, si se le configura, controla el acceso a servicios individuales simulando ser el origen de todo el tráfico entrante e incluso puede hacerse cargo del tráfico interno. Su mayor costo se compensa con ciertas ventajas: puede configurarse como la única dirección de computador visible para la red externa, proporciona un registro (logging) detallado, y como requiere un módulo Proxy específico para cada tipo de servicio, protege incluso contra los computadores internos no seguros o mal configurados. Soporta autentificación “fuerte” del usuario en dos niveles  El clásico de identificador + contraseña, poco robusto contra ataques de husmeadores o sniffers  Uno más sofisticado, con técnicas de retrollamada (call-back), claves de un solo uso (one time password OTP) o claves públicas certificadas  A nivel agente activo Puede controlar el contenido de los accesos a los servicios, por ejemplo: evitando virus, impidiendo el acceso a servicios de carácter no profesional, imponiendo límites al volumen de información en tránsito etc. Se apoya en arquitecturas híbridas de los niveles citados. Los firewalls presentan las siguientes limitaciones:  No protege contra desastres  No protege frente a los virus  No autentifica el origen de los datos 23

 No garantiza confidencialidad de los datos * La Encriptación: Es el conjunto de técnicas que intentan hacer inaccesible la información a personas no autorizadas. Por lo general, la encriptación se basa en una clave, sin la cual la información no puede ser descifrada. Con la encriptación la información transferida solo es accesible por las partes que intervienen (comprador, vendedor y sus dos bancos). * Sistemas de Detección de intrusos IDS: Existen dos tipos básicos de sistemas de detección de intrusos IDS:  Basado en Host  Basado en Red El IDS basado en Host debe ser instalado en todo sistema en que la capacidad de detectar intrusos es deseada; y aun cuando puede ser más apropiado para esta función incluso de un atacante interno, su costo puede ser alto y puede limitar la performance del sistema de manera sustancial La alternativa son los

IDS basados en red, estos recolectan datos de

sensores y sistemas y los procesan de manera centralizada. Los IDS basados en red suelen tener un bajo costo y no afectan de manera importante la perfomance del sistema, pero no son tan eficaces como los IDS basados en Host. * Firma Digital: En los sistemas computacionales de la actualidad se almacena y procesa un número creciente de información basada en documentos de papel, disponer de estos documentos electrónicamente permite un procesamiento y transmisión rápidos que ayudan a mejorar la eficiencia en general. Sin embargo la

aceptación

de estos documentos de papel ha sido

24

tradicionalmente determinada por la firma escrita que contienen, por lo tanto es necesario refrendar estos documentos en su forma electrónica con un instrumento que tenga el mismo peso legal y aceptación de la firma escrita. El instrumento en mención es la Firma Digital, esta firma es un mecanismo criptográfico con una función similar a la de la firma escrita, que es de verificar el origen y contenido de un mensaje, y evitar que el originador del mensaje o dato pueda repudiarlo falsamente. Si bien en ciertos escenarios es muy importante mantener el secreto de la información, si es que esta lo requiere, en la mayoría de los casos tiene quizás más trascendencia el poder certificar la autenticidad entre cliente y servidor como ocurre con el comercio electrónico, y garantizar la integridad y confidencialidad de la información que con este fin circula a través de Internet. Las funciones de la Firma Digital son garantizar:  Autenticidad del emisor  Integridad del mensaje  Actualidad del mensaje  No repudio del emisor  No repudio del receptor  No usurpación de identidad del emisor/receptor * Protocolo SET: Secure Electronic Transactions es un conjunto de especificaciones desarrolladas por VISA y MasterCard, con el apoyo y asistencia de GTE, IBM, Microsoft, Netscape, SAIC, Terisa y Verisign, que da paso a una forma segura

de

involucrados:

realizar

transacciones

usuario

final,

electrónicas,

comerciante,

en

las

entidades

que

están

financieras,

administradoras de tarjetas y propietarios de marcas de tarjetas. SET constituye la respuesta a los muchos requerimientos de una estrategia de implantación del comercio electrónico en Internet, que satisface las 25

necesidades de consumidores, comerciantes, instituciones financieras y administradoras de medios de pago. Por lo tanto, SET dirige sus procesos a:  Proporcionar la autentificación necesaria.  Garantizar la confidencialidad de la información sensible.  Preservar la integridad de la información. 

Definir los algoritmos criptográficos y protocolos necesarios para los servicios anteriores.

* Firmas electrónicas: Las relaciones matemáticas entre la clave pública y la privada del algoritmo asimétrico utilizado para enviar un mensaje, se llama firma electrónica (digital signatures). Quien envía un mensaje, cifra su contenido con su clave privada y quien lo recibe, lo descifra con su clave pública, determinando así la autenticidad del origen del mensaje y garantizando que el envío de la firma electrónica es de quien dice serlo. * Public Key Infraestructure: Como toda compañía que desea hacer negocios en Internet, debemos tener en cuenta la seguridad de la aplicación que utilizaremos para hacer negocios. Gran parte del comercio de hoy es transado a través de tarjetas de débito, tarjetas de crédito y órdenes de compra. Internet es uno de los medios más hostiles en el mundo, ya que existen más de 10 millones de usuarios alrededor de él, interactuando e intercambiando información con todo tipo de contenido, esto ha originado que el movimiento de agentes hostiles en Internet esté virtualmente asegurado, el mundo del Cyber-crimen está generalmente libre de la posibilidad de captura o persecución. Ante este panorama, muchos se preguntan ¿Cómo es que yo realmente puedo saber quien está al otro lado de la transacción? Ante todo, tener en cuenta que la confidencialidad e integridad de datos, el control de los accesos, la

26

autenticación de la persona con la que hacemos negocios, y la no repudiación de la información que nos sea enviada o que nosotros enviemos es sumamente importante. La infraestructura de clave pública (PKI por sus siglas en inglés) es la combinación de software, tecnología de encriptación y servicios que permiten ala empresa proteger la seguridad de sus comunicaciones y negocios en la Internet. Integra certificados digitales, llaves criptográficas y autoridades de certificación en toda una arquitectura de seguridad de la red de nuestra empresa. El sistema de autenticación debe tener:  Una política de certificación  Un certificado de la CA  Los certificados de los usuarios (X.509)  Los protocolos de autenticación, gestión y obtención de certificados  Se obtienen de bases de datos (directorio X.500)  O bien directamente del usuario en tiempo de conexión (WWW con SSL) Algunas características de diseño de la AC  Deberá definirse una política de certificación  Ámbito de actuación y estructura  Relaciones con otras ACs  Deberá definirse el procedimiento de certificación para la emisión de certificados  Verificación on-line  Verificación presencial  Deberá generarse una Lista de certificados revocados Funcionamiento de una AC  Puesta en marcha de la AC

27

 Generará su par de claves  Protegerá la clave privada con una passphrase  Generará el certificado de la propia AC  Distribución del certificado de la AC  A través del directorio X.500  Por medio de las páginas web  Podrá certificar a servidores y a clientes * Certificados de autenticidad: Como se ha visto la integridad de los datos y la autenticidad de quien envía los mensajes es garantizada por la firma electrónica, sin embargo existe la posibilidad de suplantar la identidad del emisor, alterando intencionalmente su clave pública. Para evitarlo, las claves públicas deben ser intercambiadas mediante canales seguros, a través de los certificados de autenticidad, emitidos por las Autoridades Certificadoras. Para el efecto SET utiliza dos grupos de claves asimétricas y cada una de las partes dispone de dos certificados de autenticidad, uno para el intercambio de claves simétricas y otro para los procesos de firma electrónica. * Criptografía: Es la ciencia que trata del enmascaramiento de la comunicación de modo que sólo resulte inteligible para la persona que posee la clave, o método para averiguar el significado oculto, mediante el criptoanálisis de un texto aparentemente incoherente. En su sentido más amplio, la criptografía abarca el uso de mensajes encubiertos, códigos y cifras. La palabra criptografía se limita a veces a la utilización de cifras, es decir, métodos de transponer las letras de mensajes (no cifrados) normales o métodos que implican la sustitución de otras letras o símbolos por las letras originales del mensaje, así como diferentes combinaciones de tales 28

métodos, todos ellos conforme a sistemas predeterminados. Hay diferentes tipos de cifras, pero todos ellos pueden encuadrarse en una de las dos siguientes categorías: transposición y sustitución. * Los Hackers: Son usuarios muy avanzados que por su elevado nivel de conocimientos técnicos son capaces de superar determinadas medidas de protección. Su motivación abarca desde el espionaje industrial hasta el mero desafío personal. Internet, con sus grandes facilidades de conectividad, permite a un usuario experto intentar el acceso remoto a cualquier máquina conectada, de forma anónima. Las redes corporativas u ordenadores con datos confidenciales no suelen estar conectadas a Internet; en el caso de que sea imprescindible esta conexión, se utilizan los llamados cortafuegos, un ordenador situado entre las computadoras de una red corporativa e Internet. El cortafuego impide a los usuarios no autorizados acceder a los ordenadores de una red, y garantiza que la información recibida de una fuente externa no contenga virus.

29

7. GLOSARIO: 

ACCESO: Es la recuperación o grabación de datos que han sido almacenados en un sistema de computación. Cuando se consulta a una base de datos, los datos son primeramente recuperados hacia la computadora y luego transmitidos a la pantalla del terminal, desde donde pueden ser vistos, modificados o eliminados.



ADSL: (Asymmetric Digital Suscribe Line - Línea de Usuario Digital Asimétrica). Usa la infraestructura telefónica actual para proveer servicios de transmisión de datos en alta velocidad.



AMENAZA: Cualquier cosa que pueda interferir con el funcionamiento adecuado de una computadora personal o equipo informático, o causar la difusión no autorizada de información confiada a una computadora. Ejemplo: fallas de suministro eléctrico, virus, saboteadores o usuarios descuidados.



ANTIVIRUS: Son todos aquellos programas que permiten analizar memoria, archivos y unidades de disco en busca de virus. Una vez que el antivirus ha detectado alguno de ellos, informa al usuario procediendo inmediatamente y de forma automática a desinfectar los ficheros, directorios, o discos que hayan sido víctimas del virus.



ATAQUE: Término general usado para cualquier acción o evento que intente interferir con el funcionamiento adecuado de un sistema informático, o

30

intento de obtener de modo no autorizado la información confiada a una computadora. 

AUTENTICIDAD: Capacidad de determinar si una lista de personas han establecido su reconocimiento y/o compromiso sobre el contenido del documento electrónico.



BASES DE DATOS: Es un conjunto de datos interrelacionados y un conjunto de programas para accesarlos. Una recopilación de datos estructurados y organizados de una manera disciplinada para que el acceso a la información de interés sea rápido.



BIOS: Es la abreviatura de Basic Input / Output System e identifica al software o conjunto de programas que arrancan el ordenador (antes de encontrarse un disco de sistema) cuando se pulsa el botón de encendido. La BIOS es un programa que se no se encuentra en la memoria RAM (Random Access Memory – memoria de acceso aleatorio) pues al apagar el ordenador se borraría, sino en la memoria principal o ROM (Read Only Memory - Memoria de Sólo Lectura), cuyo almacenamiento es permanente.



CARPETA: Se trata de divisiones (no físicas sino lógicas) en cualquier tipo de disco donde son almacenamos determinados ficheros. Forman parte de una manera de organizar la información del disco, guardando los documentos como si de una carpeta clasificadora se tratase.



CONFIDENCIALIDAD:

31

Capacidad de mantener datos inaccesibles a todos, excepto a una lista determinada de personas. 

COOKIE: Procedimiento ejecutado por el servidor que consiste en guardar información acerca del cliente para su posterior recuperación En la práctica la información es proporcionada desde el visualizador al servidor del Word Wide Web vía una forma o un método interactivo que puede ser recuperado nuevamente cuando se accede al servidor en el futuro. Es utilizado por ejemplo para el registro a un servicio.



CRIPTOGRAFÍA: Es la rama de las matemáticas aplicadas que se ocupa de transformar mensajes en formas aparentemente ininteligibles y devolverlas a su forma original.



DATOS: Los datos son hechos y cifras que al ser procesados constituyen una información, sin embargo, muchas veces datos e información se utilizan como sinónimos. En su forma más amplia los datos pueden ser cualquier forma de información: campos de datos, registros, archivos y bases de datos, texto (colección de palabras), hojas de cálculo (datos en forma matricial), imágenes (lista de vectores o cuadros de bits), video secuencia de tramas), etc.



FILTRO DE PAQUETES: Programa que intercepta paquetes de datos, los lee y rechaza los que no estén en un formato predefinido.



FIREWALL: Es un sistema diseñado para evitar accesos no autorizados desde o hacia una red privada. Los Firewalls pueden estar implementados en

32

hardware o software, o una combinación de ambos. Los firewalls son frecuentemente utilizados para evitar el acceso no autorizado de usuarios de Internet a redes privadas conectadas a la misma, especialmente intranets. Todos los mensajes que dejan o entran a la red pasan a través del firewall, el cual examina cada mensaje y bloquea aquellos que no cumplan con determinado criterio de seguridad. 

FIRMA DIGITAL: Valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje, permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.



FTP: (File Transfer Protocol) protocolo parte de la arquitectura TCP/IP utilizado para la transferencia de archivos.



GUSANO: Es programa similar a un virus que se diferencia de éste en su forma de realizar las infecciones. Mientras que los virus intentan infectar a otros programas copiándose dentro de ellos, los gusanos solamente realizan copias de ellos mismos.



HOST: Computador que permite a los usuarios comunicarse con otros sistemas centrales de una red. Los usuarios se comunican utilizando programas de aplicación, tales como el correo electrónico, Telnet y FTP.

33



HTML: Lenguaje de marcado de hipertexto, (Hyper-Text Markup Language) es el lenguaje con que se escriben los documentos en el World Wide Web (Internet).



HTTP: Protocolo de Transferencia de Hipertextos (Hyper-Text Transfer Protocol). Es el protocolo usado por el Word Wide Web para transmitir páginas HTML.



HUB: Un punto común de conexión de dispositivos en una red. Los hubs son usados comúnmente para conectar segmentos de una LAN. Un hub contiene múltiples puertos. Cuando un paquete llega al puerto, es copiado a los otros puertos, de esta manera los otros segmentos de la LAN pueden ver todos los paquetes. Un hub pasivo simplemente sirve de conductor de datos entre los diferentes puertos. Los llamados hubs inteligentes incluyen servicios adicionales como permitir a un administrador monitorear el tráfico y configurar cada puerto del hub. Estos hubs se conocen generalmente como hubs administrables (manageable hubs). Un tercer tipo de hub, llamado switching hub, lee la dirección de destino en cada paquete y lo envía al puerto correcto.



IDENTIFICACIÓN: Un subtipo de autenticación, verifica que el emisor de un mensaje sea realmente quien dice ser.



INCIDENTE:

34

Cuando se produce un ataque o se materializa una amenaza, tenemos un incidente, como por ejemplo las fallas de suministro eléctrico o un intento de borrado de un archivo protegido. 

INFECCIÓN: Es la acción que realiza un virus al introducirse, empleando cualquier método, en nuestro ordenador (o en dispositivos de almacenamiento) para poder realizar sus acciones dañinas.



INTEGRIDAD: Se refiere a que los valores de los datos se mantengan tal como fueron puestos intencionalmente en un sistema. Las técnicas de integridad sirven para prevenir que existan valores errados en los datos provocados por el software de la base de datos, por fallas de programas, del sistema, hardware o errores humanos. El concepto de integridad abarca la precisión y la fiabilidad de los datos, así como la discreción que se debe tener con ellos.



INTRANET: Una red privada dentro de una compañía u organización que utiliza el mismo software que se encuentra en Internet, pero que es solo para uso interno.



NAT: (Network Address Translation) las direcciones NAT son utilizadas comúnmente cuando se requiere conectividad de una LAN a Internet pero solo se tiene acceso a una sola dirección IP de Internet.



PRIVACIDAD: Se define como el derecho que tienen los individuos y organizaciones para determinar, ellos mismos, a quién, cuándo y qué información referente a ellos será difundidas o transmitida a otros.

35



PROGRAMAS (FICHEROS .EXE y .COM): Los ficheros, documentos o archivos se componen de un nombre (cuyo número de caracteres antiguamente se limitaba a 8) y una extensión que puede no existir o contener, hasta tres caracteres como máximo. Esta extensión especifica el tipo de fichero. Si es EXE o COM, el fichero será un programa ejecutable. De esta forma si hacemos doble clic sobre él o escribimos su nombre, se realizarán determinadas acciones.



PROTOCOLO: Descripción formal de formatos de mensaje y de reglas que dos computadores deben seguir para intercambiar dichos mensajes.



PROXY: Una substitución de direcciones, usado para limitar la información de direcciones disponibles externamente.



REDIRECCIONAR: Esta acción permite aplicar un nuevo destino. En el caso de los virus, se puede hablar de éste término cuando un virus es capaz (por ejemplo) de hacer que el sistema en lugar de acceder a una dirección en la que debería encontrar determinados componentes, es obligado por el virus a saltar o acceder a otra dirección diferente.



ROUTER: Dispositivo que distribuye tráfico entre redes. La decisión sobre a dónde enviar se realiza en base a información de nivel de red y tablas de direccionamiento.



SCRIPT:

36

Archivos con su extensión SCR que sirven para determinar los parámetros ("condiciones") con los que se deben ejecutar unos determinados programas. Permiten iniciar un programa con unas pautas fijadas de antemano. 

SEGURIDAD: Se refiere a las medidas tomadas con la finalidad de preservar los datos o información que en forma no autorizada, sea accidental o intencionalmente, puedan ser modificados, destruidos o simplemente divulgados. En el caso de los datos de una organización, la privacidad y la seguridad guardan estrecha relación, aunque la diferencia entre ambas radica en que la primera se refiere a la distribución autorizada de información, mientras que la segunda, al acceso no autorizado de los datos. El acceso a los datos queda restringido mediante el uso de palabras claves, de forma que los usuarios no autorizados no puedan ver o actualizar la información de una base de datos o a subconjuntos de ellos.



SPAM: Envío masivo, indiscriminado y no solicitado de publicidad a través de correo electrónico.



SSL: Protocolo que ofrece funciones de seguridad a nivel de la capa de transporte para TCP.



TCP: Uno de los protocolos más usados en Internet. Es un protocolo de capa de transporte.



TELNET:

37

Telnet es el protocolo estándar de Internet para realizar un servicio de conexión desde un terminal remoto.

8. CONCLUSIONES:

El problema de la seguridad en los sistemas informáticos y por herencia en Internet y en sus transacciones de datos no es nuevo, de hecho hemos hablado de problemas detectados en 1973 y que aún perduran. Los protocolos y arquitecturas para asegurar las comunicaciones en una red son, al igual que el resto de los componentes de software y hardware, propensos a ataques malintencionados. De los ataques conocidos muchos pueden ser evitados o al menos detectados, pero muchos otros logran concretarse. A partir del intercambio de opiniones con usuarios, analistas y responsables de seguridad de infraestructura concluimos en que la tecnología de aseguramiento existe y se conoce, que las soluciones están al alcance de la mano pero que muchas empresas no desean pagar la seguridad ya que no es algo tangible. Simplemente perdieron de vista al usuario y sus intereses o no saben cómo justificar el costo de la seguridad. Se ha dicho que la seguridad en la Web es difícilmente absoluta, pero se puede minimizar el riesgo utilizando medidas de seguridad apropiadas y planes para una recuperación rápida ante un incidente de seguridad. La seguridad Web no es fácil ni barata pero la inseguridad puede ser aún más costosa. La seguridad debe ser parte integral de una organización y de la mentalidad de sus componentes. Poner cuidado en el desarrollo de las políticas de seguridad, posibilita evitar

muchos

problemas

potenciales.

Sin

embargo

muchas

organizaciones ponderan el hacer sobre el planificar; sin comprender la

38

importancia de los planes y los beneficios en tiempo, costo y calidad de los procesos planificados sobre los improvisados. Es necesario producir un cambio de cultura en aquellas empresas en las que es preciso que las cosas ocurran para que se planifiquen las acciones a seguir. Las estrategias de las empresas de comercio electrónico que florecieron en los 90, se basaron en publicidades masivas y simplemente lograron que los usuarios entren y salgan, como si se tratara de una puerta giratoria. Las leyendas urbanas corrieron por Internet, pasando por las máquinas de todo el mercado, divulgando historias con incidentes terribles que le sucedían a aquellos que osaban poner sus datos en la computadora y ni hablar si los datos eran los de su tarjeta de crédito. Estas leyendas contaban sobre personas que al comprar un artículo en un sitio Web eran estafadas o se utilizaban sus datos para algún tipo de fraude. Además otros sistemas, como las ventas telefónicas, a pesar de ser más débiles, generan más confianza, por lo que son más aceptados. Y he aquí una palabra que consideramos clave ya que el ser humano desconfía de lo que no conoce y el común de los usuarios desconfía altamente de la tecnología. Admitamos que un candadito en el inferior derecho de nuestra pantalla no es suficiente para darle nuestro número de tarjeta de crédito a una empresa que no conocemos, sobre todo a la vista de toda la comunidad de hackers a la cual le tenemos pánico. Sabemos que habrá sistemas mientras haya mercado, al menos mientras la sociedad sea capitalista. Por lo tanto no se puede dejar de escuchar al mercado y si el mercado dice que tiene miedo del comercio electrónico, es necesario dirigir todas las fuerzas a la difusión de la seguridad del comercio electrónico. La confianza está ligada en gran medida al conocimiento. Para lograr captar la confianza del mercado es necesario mejorar los procesos profesionales y la manera de trabajar; dar a la planificación el lugar que se merece y producir un cambio de cultura en aquellos que aún dicen: “Estamos en tiempos de crisis y me vienen a

39

hablar de lo que deberíamos hacer para mejorar o de perder tiempo planificando cuando lo que yo quiero es sacar soluciones YA”. Nadie discute que en estos tiempos los vientos están soplando muy duro, pero en las tormentas están quienes se ocultan en refugios, poniéndose a resguardo y hay quienes montan molinos de viento y recogen éxitos permanentes. Es necesario persuadir a los empresarios de que la recuperación de un incidente es más costosa que la toma de medidas preventivas. La seguridad del sistema de transacción de datos no debe ser un agregado al comercio electrónico, sino algo que surja desde el propio diseño. Dijimos que la mayor parte de los problemas de seguridad en los sistemas y por ende en los sistemas de comercio electrónico se debe, no a malicia, sino a errores de programación. Se debe tender a 100% de seguridad y 0% de error. Si bien la seguridad es difícilmente absoluta; existe tecnología, conocimiento y posibilidades suficientes para lograr una gran mejora en la seguridad y una minimización de los riesgos. Es sólo un tema de conciencia de todos los actores de este juego. Durante el desarrollo de la presente tesis se realizó un relevamiento de la utilización de las tecnologías del comercio electrónico en el mercado y se observó las medidas de seguridad aplicadas. Se presentaron los conceptos que permiten al usuario de Internet detectar sitios seguros y confiar en ellos; se analizaron las técnicas existentes de certificación de sitios seguros y los mecanismos de certificación y seguridad para encontrar las formas de persuasión que, basadas en la tecnología, le permitan a las empresas que sus clientes confíen en el comercio electrónico. Hemos mencionado los problemas de la seguridad en la Web que, si bien dependen del caso particular, suelen orbitar alrededor de los siguientes puntos: 

Aseguramiento del servidor Web de forma física y lógica.

40



Aseguramiento de la información en tránsito.



Aseguramiento de la computadora del usuario.

También se comentaron las diferentes herramientas de protección, las prácticas y arquitecturas que aumentan la seguridad. Las técnicas de identificación digital mediante certificados y firmas. Se habló de la criptografía como base para la protección de los datos, aunque no es sinónimo de seguridad. Se hizo hincapié en los principales problemas de seguridad de las máquinas en la actualidad y se encontró que su solución estaba disponible desde hacía mucho tiempo y se basa en los siguientes puntos: 

Definir políticas en tiempo de diseño.



Prevenir la intercepción de claves de acceso.



Utilizar las herramientas de seguridad disponibles.



Evitar fallas y errores de programación.



Utilizar Firewalls



Utilizar bitácoras



Utilizar respaldos



Minimizar servicios



Restringir el acceso



Utilizar seguridad física



Auditar la seguridad

Utilizando medidas de seguridad, buenas prácticas y arquitecturas que pueden asegurar al cliente la integridad y fiabilidad de sus datos se logra la tan anhelada confianza y satisfacción que es el objetivo primordial de cualquier empresa para subsistir en un mercado competitivo.

41

Las posibilidades que los clientes tienen de protegerse de ataques son muchas. Las responsabilidades en caso de fraude, recaen sobre el prestador del servicio, por negligencia, ya que las herramientas de seguridad existen y son eficientes si se usan con buenas prácticas. Existen desvíos entre la teoría sobre la aplicación de la tecnología disponible y la práctica, los cuales se deben en su mayoría al poco apoyo de los empresarios a la seguridad, esto se debe a tomar, erróneamente, a la seguridad como un costo y no como una inversión. El usuario debe estar al tanto de los riesgos y cómo defenderse ya sea de las formas de prevención como de las posibilidades de reaccionar ante ataques. Somos nosotros, los profesionales de sistemas, los que tenemos que mostrarles los peligros verdaderos y los mecanismos de defensa que existen en su favor. Las empresas tendrán que cambiar su cultura respecto a la seguridad de la información, así como lo hicieron con la seguridad física de los empleados en las últimas décadas. Pero aquí también jugamos nosotros un papel fundamental ya que debemos mostrar a las empresas los beneficios de tener políticas de seguridad de datos y que este cambio significa evolución y subsistencia. Tenemos que transmitir la idea de seguridad al cliente, sino simplemente huirá de nuestro sitio. De esto dependerá el éxito o el fracaso del comercio electrónico.

42

9. ANEXOS:

HACKERS Y CRACKERS FAMOSOS  DRAPER JOHN, “CAPTAIN CRUNCH” En septiembre de 1970 John Draper, también conocido como Captain Crunch, descubre que el obsequio ofrecido en las cajas de cereal Captain Crunch duplica perfectamente la frecuencia de tono de 2600 hz. de una línea de WATS, permitiéndole hacer llamadas telefónicas gratis y la gran víctima era AT&T.  HOLLAND WAU Y WENERY STEFFEN "Lo logramos, por fin... Sólo hay algo seguro, la infinita inseguridad de la seguridad". Fue lo que escribio Wau Holland, en su cuaderno de notas, el 2 de mayo de 1987. Los dos hackers alemanes, de 23 y 20 años respectivamente, habían ingresado sin autorización al sistema de la central de investigaciones aerospaciales más grande del mundo (NASA). ¿Por qué lo hicieron?, “Porque es fascinante, la única aventura posible está en la pantalla de un ordenador”, respondieron. Cuando Wau y Steffen advirtieron que los técnicos los habían detectado, le enviaron un telex, avisando de su intrusión.  ING-HOU CHEN El autor del virus “Chernobyl”, dijo a los investigadores que el creó el bug con la esperanza de humillar y vengarse de los que llamo “proveedores incompetentes de antivirus para software”. Pero él admitió que no esperaba que CIH (iniciales de su autor) causara daño alrededor del mundo. Este virus devastó cientos de miles de computadoras alrededor del mundo. Chen creó el virus en Abril,

43

cuando todavía era estudiante de ingeniería computacional en el Instituto Tecnológico. Este inusual virus destructivo, programado para funcionar el 26 de Abril, (13° aniversario del desastre nuclear de Chernobyl), trata de borrar el disco rígido y escribir “basura” en algunos otros componentes, evitando de este modo el futuro encendido de la computadora.  KEVIN Y RONALD Ronald y Kevin, con los nombres de guerra Makaveli y TooShort en el ciberespacio, asaltaron los ordenadores del Pentágono en Marzo del año 1998, a la tierna edad de 17 años. Estos dos forajidos virtuales, con sus conocimientos y con un equipo básico informático, se introdujeron en cuatro sistemas de la Marina y siete de las fuerzas aéreas, relacionados con centros digitales en Estados Unidos y Okinawa.  LA MACCHIA DAVID En 1994 David La Macchia, estudiante de 20 años del prestigioso y serio MIT, reconoce que ha distribuido en Internet multitud de programas informáticos obtenidos sin licencia y por valor de un millón de dólares. Para ofrecerlos a los cibernautas montó su propia BBS.  LEVIN VLADIMIR Un matemático ruso de 24 años, penetró vía Internet desde San Petersburgo en los sistemas informáticos centrales del banco Citybank en Wall Street, Este pirata logró transferir a diferentes cuentas de EE.UU., Rusia, Finlandia, Alemania, Israel, Holanda y Suiza fondos por valor de 10 millones de dólares, según el FBI. Detenido en el Reino Unido a principios de 1995, Levin espera que

44

los tribunales británicos se pronuncien sobre una demanda de extradición solicitada por EE.UU.  MITNICK KEVIN, “EL CÓNDOR”, “EL CHACAL DE LA RED” Como hacker, la carrera de Mitnick tiene sus inicios en 1980 cuando apenas contaba 16 años y, obsesionado por las redes de computadoras, rompió la seguridad del sistema administrativo de su colegio, pero no para alterar sus notas, lo hizo “solo para mirar”. La primera vez que lo detuvieron fue en 1981 por robar manuales de la Pacific Telephone. La información robada tenía un valor equivalente a los 200 mil dólares y tuvo que cumplir una condena tres meses de cárcel y a un año bajo libertad condicional. En 1983 intentó ingresar en las computadoras de la universidad de California del Sur y poco después penetró el sistema de la agencia de créditos TRW. En 1987 lo condenaron a treinta y seis meses de libertad condicional por robo de soft, tras hackear los sistemas del Departamento de Defensa de EE.UU. y la NASA. Un año más tarde fue arrestado de nuevo cuando era estudiante de la Universidad del Sur de California. En esta ocasión entró ilegalmente a ARPAnet (la predecesora de Internet) y trató de acceder a la computadora del Pentágono. Lo sentenciaron a seis meses de cárcel en una prisión juvenil en California. Durante ese tiempo le negaron el acceso a los teléfonos y a lo largo de los doce meses de rehabilitación no pudo acercarse a una computadora. Más tarde, y ya en libertad, se apoderó de 16 códigos de seguridad de MCI y junto a un amigo, Lenny DiCicco, entraron a la red del laboratorio de investigaciones de Digital Corporation, conocida como Easynet. Ambos hackers querían obtener una copia del prototipo del nuevo sistema operativo de seguridad de Digital llamado VMS. El personal de seguridad de Digital se dio cuenta inmediatamente del ataque y dieron aviso al FBI, y comenzaron a rastrear a los hackers. Mitnick fue arrestado en 1988 por invadir el sistema de Digital Equipment. La empresa acusó a Mitnick y a DiCicco ante un juez

45

federal de causarles daños por 4 millones de dólares en el robo de su sistema operativo. Fue declarado culpable de un cargo de fraude en computadoras y de uno por posesión ilegal de códigos de acceso de larga distancia. Adicional a la sentencia el fiscal obtuvo una orden de la corte que prohibía a Mitnick el uso del teléfono en la prisión alegando que el prisionero podría obtener acceso a las computadoras a través de cualquier teléfono. A petición de Mitnick el juez lo autorizó a llamar únicamente a su abogado, a su esposa, a su madre y a su abuela y sólo bajo supervisión de un oficial de la prisión. Este caso produjo revuelo en los Estados Unidos, no sólo por el hecho delictivo sino por la táctica que utilizó la defensa. Su abogado convenció al juez que Mitnick sufría de una adicción por las computadoras equivalente a la de un drogadicto, un alcohólico o un apostador. Gracias a esta maniobra de la defensa Mitnick fue sentenciado a sólo un año de prisión y al salir de allí debía seguir un programa de seis meses para tratar su “adicción a las computadoras”. Durante su tratamiento le fue prohibido tocar una computadora o un módem y llegó a perder más de 45 kilos. Para 1991 ya era el hacker que había ocupado la primera plana del New York Times y uno de sus reporteros, John Markoff, decidió escribir un libro de estilo Cyberpunk narrando las aventuras de Mitnick. Al parecer a Mitnick no le gustó el libro ya que luego de salir a la venta, la cuenta en Internet de Markoff fue invadida, cambiando su nivel de acceso, de manera de que cualquier persona en el mundo conectada a Internet podía ver su correo electrónico. En 1992, y luego de concluir su programa, Mitnick comenzó a trabajar en una agencia de detectives. Pronto se descubrió un manejo ilegal en el uso de la base de datos y fue objeto de una investigación por parte del FBI quien determinó que había violado los términos de su libertad condicional. Se ofreció una recompensa de 1 millón de dólares a quien arrestara a Mitnick.

46

Luego de convertirse en prófugo de la justicia cambió de táctica y concluyó que la mejor manera de no ser rastreado era utilizando teléfonos celulares. Luego de varios intentos infructuosos, en cuanto a calidad de información, se encontró con la computadora de Tsutomu Shimomura la cual invadió en la Navidad de 1994. Shimomura, físico computista y experto en sistemas de seguridad del San Diego Supercomputer Center, era además un muy buen hacker, pero era de los “chicos buenos”, ya que cuando hallaba una falla de seguridad en algún sistema lo reportaba a las autoridades, no a otros hackers. Shimomura notó que alguien había invadido su computadora en su ausencia, utilizando un método de intrusión muy sofisticado y que él nunca antes había visto. El intruso le había robado su correo electrónico, software para el control de teléfonos celulares y varias herramientas de seguridad en Internet. Allí comenzó la cuenta regresiva para Mitnick. Shimomura se propuso como orgullo personal atrapar al hacker que había invadido su privacidad. Más tarde, El 16 de febrero de 1995, Mitnick fue capturado, juzgado y condenado a 25 años de prisión, lejos de computadoras y teléfonos. Pero, el 22 de marzo de 1999, se consigue un acuerdo con jueces y fiscales. Los términos concretos se desconocen, pero se sabe que en marzo de 2000 Mitnick quedaría en libertad con la condición irrevocable de no poder acercarse a una computadora. Kevin Mitnick, este sencillo nombre, oculta la verdadera identidad de uno de los mayores crackers de la historia. Fue una de las mayores pesadillas del Departamento de justicia de los Estados Unidos. Entró virtualmente en una base de misiles, llegó a falsificar 20.000 números de tarjetas de crédito y a causar pérdidas millonarias a varias empresas.  BARAM PAUL Posiblemente el mayor hacker de la historia. Ya hackeaba Internet antes de que existiera. El fué quien introdujo el concepto de hacker.

47

 FARMER DAN Trabajó con Spafford en la creación de COPS (1991) y al mismo tiempo con el famoso Computer Emergency Response Team (CERT). Tiempo más tarde Farmer ganó gran notoriedad al crear el System Administrator Tool for Analyzing Networks (SATAN). Una gran herramienta para analizar vulnerabilidades en redes.  GATES BILL Y ALLEN PAUL En sus tiempos de aprendices, estos dos hombres de Washington se dedicaban a hackear software. Empezaron en los 80 y han creado los mayores imperios de software de todo el mundo.  RITCHIE DENNIS, THOMSON KEN Y KERRIGHAN BRIAN Programadores de los Laboratorios Bell. Son los desarrolladores de UNIX y C. Se los considera los padres de la informática masiva al desarrollar el sistema operativo y el lenguaje más poderosos de la actualidad.  SPAFFORD EUGENE Profesor de informática. Colaboró para crear el Computer Oracle Password Security System (COPS) un sistema de seguridad semiautomático. Es un hombre muy respetado en el campo de la seguridad.  STALLMAN RICHARD Se unió al Laboratorio de inteligencia artificial de la MIT en 1971. Fue ganador del premio McArthur por sus desarrollos de software. Fue fundador de Free Software Foundation, creando aplicaciones y programas gratis.  TORVALDS LINUS 48

Torvalds empezó a conocer el UNIX y a tomar clases de programación en C sobre los 90. Un año después empezó a escribir un SO parecido al UNIX. Después de otro año, lo subió a Internet pidiendo colaboración; hoy es llamado LINUX.  VEHEMA WIETSE Vehema viene de la Universidad de Tecnología de Eindhoven, en los Países Bajos. Un gran programador, con un don para ello, además de tener un amplio historial en programas sobre seguridad. Es el coautor del SATAN con Farmer. Vehema escribió el TCP Wrapper, uno de los programas de seguridad más usado en el mundo.

49

10. BIBLIOGRAFIA: 

Revista

perspectiva

Nº

5

Seguridad

Publicación

Virtual

www.microsoft.com/spain/enterprise/perspectivas/numero_5 

Red Temática Iberoamericana de Criptografía y Seguridad de la Información www.criptored.upm.es



Seguridad en la web www.webtaller.com/maletin/articulos/seguridadweb.php



Técnicas de Criptografía y de Protección de Datos Autor: Amparo Fúster Sabater, Dolores de la Guía Martínez, Luis Hernández Encinas, Fausto Montoya Vitini, Jaime Muñoz Mosqué Editorial: Ra Ma Edición: 1997, España



Seguridad y comercio en el Web Autor: Simson Garfinkel, Gene Spafford Editorial: Mc Graw Hill



Transacciones electrónicas seguras www.mastercard.com/set/set.htm



Seguridad en redes y servidores: www.scribd.com/doc/1739221/Seguridad-en-Redes-y-Servidores



Sitio de seguridad informática http://www.virusprot.com



Reingeniería y Seguridad en el Ciberespacio Autor: J. A. Calle Guglieri Editorial: Diaz de Santos Edición: 1997, España



Seguridad en Internet: http://home.netscape.com/newsref/ref/Internet-security.html

50

51