Introducción

1. Introducción ¿Qué proteger? ¿De qué proteger? Hardware Personas Software Amenazas Lógicas Datos Problemas físicos Seguridad Catástrofes ¿Qué conseguir? ¿Cómo proteger? Autenticación Autorización Prevención Disponibilidad Detección Confidencialidad Recuperación Integridad Auditoría No repudio

2. Criptografía Datos Datos Encriptación asE4Bhl Desencriptación Datos cifrados Criptografía

3. Algoritmos Hash Algoritmo Hash Datos Hash Algoritmos Hash de una dirección • MD4 y MD5 • SHA

4. Algoritmos Hash con clave Datos Algoritmo Hash Hash Clave Privada Algoritmos Hash de una dirección con clave • MAC

5. Autenticación NT-UNIX simplificada Algoritmo Hash Contraseña Usuario Algoritmo Hash Contr. Encrip. BD contraseñas encriptadas Usuario1 Contr Enc Usuario2 Contr Enc Contr. Encrip. Si Acceso permitido Contr. Encrip. No Acceso denegado Autenticación NT-Unix Cliente Servidor Autenticación de un Usuario Creación de Usuario Usuario Contraseña Usuario ¿ Iguales ?

6. Algoritmos de clave privada Datos Datos Clave Privada Clave Privada asE4Bhl Algoritmo de clave simétrica Algoritmo de clave simétrica Datos cifrados Algoritmo de clave simétrica ( ó privada) • DES y triple DES • IDEA • RC2 y RC4 • SkipJack

7. Algoritmos de clave pública Datos Datos Datos Clave Privada asE4Bhl Algoritmo de clave pública Algoritmo de clave pública Datos cifrados Clave Pública Cifrado privado Cifrado público Algoritmo de clave asimétrica ( ó pública) • RSA • Diffie-Hellman

8. Firma Digital Datos Hash Algoritmo Hash Clave Privada del firmador Datos Datos firmados Algoritmo de clave pública Firma Digital Firma digital

9. Comprobación de firma digital Datos firmados Datos Hash Algoritmo Hash Datos auténticos íntegros y validados Si Iguales No Hash Datos Algoritmo de clave pública Clave Pública del firmador Datos Falsos Comprobación de firma digital Firma Digital

10. Certificado Clave Pública del titular Fechas de expedición y expiración del Certificado Certificado de una Entidad Identificación del titular del certificado Datos de la Autoridad de Certificación Algoritmo de encriptación empleado para firmar Usos del certificado Firma Digital de la Autoridad Certificadora Certificado Nº de serie: E524 F094 6000 5B80 11D3 3A19 A976 471D X.509v3

11. Petición de Certificado Generador de pareja de claves Clave Privada de CA Clave Privada Certificado de la Entidad Certificado de la Entidad Clave Privada (bajo contraseña) Datos de la Entidad Respuesta Respuesta Petición Petición Datos CA Clave Pública Entidad Clave Pública Entidad Petición de Certificado Autoridad Certificadora (CA)

12. SSL No Fin No Si Si https://www.dominio.com Clave simétrica de sesión Generador de claves Clave Privada servidor Clave simétrica de sesión Clave Pública servidor Certificado servidor asE4Bhl Clave simétrica de sesión Cliente Continuar ? SSL Auténtico ? Servidor

13. SSL doble No Fin No Si Si https://www.dominio.com Clave simétrica de sesión Generador de claves Clave Privada servidor Clave simétrica de sesión Clave Pública servidor Certificado cliente Certificado servidor asE4Bhl Si No Clave simétrica de sesión Fin Cliente Continuar ? SSL doble Auténtico ? Auténtico ? Servidor

14. Smart Cards PIN E5B4 ENTRADA SALIDA CRIPTO-PROCESADOR MEMORIA SISTEMA OPERATIVO Clave Privada Datos seguros Clave Pública Portabilidad Procesos seguros Smart Cards

15. VPN Internet VPN (Red Privada Virtual)

16. PKI Autoridad de Registro Autoridad de Certificación Servidores de tiempo CRL Certificados válidos Certificados Revocados Usuarios Repositorio / Directorio X.500 P.K.I.Public Key Infraestructure

17. PKI, Entidades de certificación P.K.I. Entidades de certificación Españolas: ·         El proyecto CERES(CERtificación ESpañola) liderado por la FNMT (Fábrica Nacional de Moneda y Timbre) ha creado una Entidad Pública de Certificación con el principal objetivo de asegurar las comunicaciones electrónicas de los ciudadanos con la Administración. ·ACE(Agencia de Certificación Española), se constituyó en 1997 con socios como Telefónica, Sistema 4B, SERMEPA y CECA. Proporciona certificación bajo SET y X.509v3. ·FESTE(Fundación para el Estudio de la Seguridad en las TElecomunicaciones) integrado por los Notarios, los corredores de comercio y la Universidad de Zaragoza. Aunque su vocación es realizar estudios y proyectos, también actúa como servicio de certificación. ·CAMERFIRMAestá basado en las Cámaras de Comercio de toda Europa. Proporciona certificación bajo X.509v3. Internacionales: ·         VeriSign ·         SecureNet ·         Entrust

18. final Aspectos técnicos de la seguridad en la información sanitaria Muchas gracias Sebastian Hualde TapiaDirector del servicio de Organización y Planificación de la información Jokin SanzJefe de la sección de Sistemas Gobierno de Navarra

19. Autenticación Contraseña PIN ********* E5B4 Datos almacenados Certificado digital Si Acceso permitido No Caraterística biométrica Acceso denegado Tarjeta inteligente Autenticación ¿ Iguales ? Etc....

20. Tcp/ip Demonios Demonios / procesos .... Puertos 21 25 80 FTP Correo Web Internet TCP/IP, demonios y puertos Web, FTP, Correo TCP/IP

21. Cortafuegos / Proxy Internet ZonaDesmilitarizada Cortafuegos Correo Web Base Datos pública Proxy Red Interna ...... Base Datos privada Cortafuegos y Proxy de aplicaciones

22. Cortafuegos. Reglas Web, FTP, Correo Demonios / procesos .... Puertos 21 25 80 FTP Correo Web Origen Destino Puerto Acción Cortafuegos Estac 1 Servidor1 21 Permitir Estac 1 Servidor1 25 Denegar TCP/IP Cortafuegos y reglas Servidor1 Estac 1

23. Personas ..... Trabajadores Ex - empleados hackers, crackers, phreakers Personas

24. Amenazas lógicas virus troyanos Bugs gusanos Puertas de atrás Herramientas de seguridad Bombas lógicas .. y exploits Amenazas lógicas Técnicas Salami

25. Problemas físicos Condiciones ambientales eléctricos Memorias Discos Procesadores Problemas físicos

26. Prevención Mecanismos de prevención Medios removibles: cd’s, discos,... Medios no electrónicos Red: Cortafuegos, proxy,... Autenticación, autorización, confidencialidad, integridad, no repudio y disponibilidad

27. Detección Mecanismos de detección De monitorización y detección Análisis de riesgos: * scanner de puertos * fotos del sistema * análisis de contraseñas * .... Gestión de infraestructuras Antivirus

28. PKI, petición Autoridad de Registro Autoridad de Certificación BD certificados Datos validados BD solicitudes Certificado Certificado Certificado Solicitudes CRL ConsultaLDAP Certificados válidos Certificados Revocados Usuarios Repositorio / Directorio X.500 P.K.I. Solicitud

29. Autenticación NTdesafio respuesta Usuario Algoritmo Hash BD contraseñas encriptadas Desafio Algoritmo Combinación Algoritmo Combinación Respuesta Usuario1 Contr Enc Usuario2 Contr Enc Si Acceso permitido ¿ Iguales ? Contr. Encrip. Respuesta No Acceso denegado Servidor Autenticación NT desafío-respuesta Usuario Desafio Contraseña Cliente