Tema 4.- SEGURIDAD

1. Tema 4.- SEGURIDAD Patricia López Peinado

2. INDICE • Seguridad en Internet. • Virus, troyanos y gusanos. • Software espía. • El correo spam. • Seguridad activa y pasiva. • Los antivirus. • Los cortafuegos. • La identidad digital y el fraude. • Cifrado de la información. • Firma digital. • Certificados digitales. • El protocolo seguro HTTPS.

3. Seguridad en Internet • Entendemos por seguridad informática al conjunto de acciones, herramientas y dispositivos cuyo objetivo es dotar a un sistema informático de integridad, confidencialidad y disponibilidad. • Un sistema es integro si impide la modificación de la información a cualquier usuario que no haya sido autorizado con anterioridad. • Un sistema es confidencial si impide la visualización de datos a los usuarios que no tengan privilegios en el sistema. • Estas características que restringen el uso de la información deben ir unidas siempre al concepto de disponibilidad, pues los sistemas deben estar disponibles para que los usuarios autorizados puedan hacer un uso adecuado de ellos.

4. Virus, troyanos y gusanos • Virus informático. Es un programa que se instala en el ordenador sin el conocimiento de su usuario y cuya finalidad es propagarse a otros equipos y ejecutar las acciones para las que fueron diseñados. Estas funciones van desde pequeñas bromas que no implican la destrucción de archivos, pasando por la ralentización o apagado del sistema, hasta la destrucción total de discos duros. • Troyano. Es una pequeña aplicación escondida en otros programas de utilidades, fondos de pantalla, imágenes, etc., cuya finalidad no es destruir información, sino disponer de una puerta de entrada a nuestro ordenador para que otro usuario o aplicación recopile información de nuestro ordenador incluso tome el control absoluto de nuestro equipo de una forma remota. Los sistemas de transmisión que utilizan son el acompañamiento con software y medios como la web, el correo electrónico, los chats o los servidores ftp.

5. Virus, troyanos y gusanos • Gusano informático. Es un tipo de virus cuya finalidad es multiplicarse e infectar todos los nodos de una red de ordenadores. Aunque no suelen implicar la destrucción de archivos, sí ralentizan el funcionamiento de los ordenadores infectados y de toda su red. Suelen acompañar a un correo electrónico malicioso y muchos tiene la capacidad de enviarse automáticamente a todos los contactos del programa gestor de correo. Independientemente de los sistemas de protección que utilicemos en nuestro ordenador, siempre es recomendable ser cauteloso a la hora de abrir correos electrónicos.

6. Software espía • Un programa espía o spyware es un programa que se instala en el ordenador sin conocimiento del usuario y cuya finalidad es recopilar información sobre el usuario para enviarla a servidores de Internet que son gestionados por compañías de publicidad. La información que recopila un espía suele ser utilizada para enviarnos spam o correo basura. Los ordenadores infectados con spyware ven muy ralentizada su conexión a Internet. • Los programas espía se instalan camuflados en nuestro ordenador cuando descargamos desde Internet utilidades gratuitas aparentemente inofensivas. Los spyware recopilan información sobre nuestras costumbres de navegación, los programas instalados, etc. Y a menudo tiene la capacidad de secuestrar nuestra página de inicio del navegador y mandarnos a una pagina en blanco, de publicidad… mediante un funcionamiento conocido como hijacking.

7. Software espía • El funcionamiento de los programas antiespía es similar al de los antivirus, pues compara los archivos de nuestro ordenador con una base de datos de archivos espías. Por eso, también en este caso es de suma importancia mantener actualizado el programa antiespía. • Este tipo de programas es compatible con el antivirus. Es aconsejable tener instalados ambos en nuestro equipo y que se ejecuten de forma residente, es decir, que analicen el sistema de forma continua. • Los síntomas de un ordenador infectado por espías son la lentitud de funcionamiento y navegación por Internet, las excesivas ventanas emergentes en Internet y las ventanas emergentes en el sistema operativo al encender el ordenador. • Antiespias gratuitos: A-squared Free, Spybot S&B, Ad-Aware 2007 free, SpywareGuard, Windows Defender

8. El correo spam • También conocido como correo basura, consiste en el envío de correo electrónico publicitario de forma masiva a cualquier dirección de correo electrónico existente. Tiene como finalidad vender sus productos. Los principales perjuicios que nos ocasiona es la saturación de los servidores de correo y la ocultación de otros correos maliciosos. Muchos de los paquetes de software de seguridad actual incluyen filtros contra el correo no deseado. • Aparte de los filtros antispam, la opción Vista previa de encabezados (antes de su descarga) nos evita descargar correo no deseado desde el servidor.

9. El correo spam • El software antispam son programas basados en filtros capaces de detectar el correo basura, tanto desde el punto cliente (nuestro ordenador) como desde el punto servidor (nuestro proveedor de correo). • El spam o correo basura es enviado masiva e indiscriminadamente por empresas de publicidad. La lucha contra el correo basura resulta compleja si se pretenden respetar al mismo tiempo los correo electrónicos normales. • Estos filtros analizan los correos electrónicos antes de ser descargados por el cliente. La forma de detección está basada en listas o bases de datos de correos spam, en el análisis de la existencia del remitente, etc.

10. El correo spam • Actualmente la mayoría de los antivirus tienen integrado un filtro antiespam a sus distribuciones de seguridad. • Podemos destacar los siguientes programas gratuitos para correo POP3 recomendados por el INTECO: Spamcombat y Spamgourmet. • Existen dos tipos de correo electrónico: el correo POP3, que utiliza clientes de correo como Microsoft Outlook, MozillaThunderbird o Evolution de Linux Ubuntu para descargar los correos desde el servidor; y el correo webmail, que es visulizado a través de páginas web como Hotmail, Gmail, Mixmail o Yahoo.

11. El correo spam • Los filtros antispam para estos correos actúan de la manera siguiente: • Los filtros antispam por tecnología POP3 deben estar instalados en el ordeandor cliente para interctuar con el programa de correo. Las empresas que dan servicio de e-mail también tienen sus propios filtros en el servidor. • El correo webmail suele tener sus propios filtros antispam y antivirus. También puede bloquear remitentes y definirlos como spamers. • Algunos programas como Kaspersky Internet Security nos muestran los encabezamientos de los mensajes de correo electrónico almacenados en el servidor POP3 antes de descargarlos, de manera que podemos eliminar los mensajes no deseados antes de que lleguen a nuestro equipo.

12. Seguridad activa y pasiva • Podemos diferenciar dos tipos de herramientas o prácticas recomendables relacionadas con la seguridad: • Las técnicas de seguridad activa, cuyo fin es evitar daños a los sistemas informáticos: • El empleo de contraseñas adecuadas. • La encriptación de los datos. • El uso de software de seguridad informática.

13. Seguridad activa y pasiva • Las técnicas o prácticas de seguridad pasiva, cuyo fin es minimizar los efectos o desastres causados por un accidente, un usuario o malware. Las prácticas de seguridad pasiva más recomendables son estas: • El uso de hardware adecuado frente a accidentes y averías (refrigeración del sistema, conexiones eléctricas adecuadas, utilización de dispositivos SAI, etc). • La realización de copias de seguridad de los datos y del sistema operativo en más de un soporte y en distintas ubicaciones físicas.

14. Los antivirus • Un programa antivirus es un programa cuya finalidad es detectar, impedir la ejecución y eliminar software malicioso como virus informáticos, gusanos, espías y troyanos. • El funcionamiento de un programa antivirus consiste en comparar los archivos analizados con su base de datos de archivos maliciosos, también llamados firmas. Para que su funcionamiento sea efectivo, la base de datos debe estar actualizada, ya que aparecen nuevos virus constantemente. Los antivirus modernos disponen de servicios de actualización automática por Internet. • Muchos programas antivirus también funcionan con sistemas heurísticos. La técnica heurística de un antivirus consiste en analizar el código interno del archivo y determnar si se trata de un virus aunque no se encuentre en su base de firmas maliciosas. Esta forma de trabajo es muy importante para detectar los nuevos virus que todavía no se han incluido en las bases de datos.

15. Los antivirus • Los programas antivirus tienen distintos niveles de protección: • El nivel de residente, que consiste en ejecutar y analizar de forma continua los programas que se ejecutan en el ordenador, los correos entrantes y salientes, las páginas web, etc. El antivirus residente consume recursos de nuestro ordenador y puede ralentizar su funcionamiento. • El nivel de análisis completo consiste en el análisis de todo el ordenador, es decir, de todos los archivos de disco duro, del sector de arranque de la memoria RAM, etc. Los antivirus interactúan con las tareas programadas para así analizar periódicamente el sistema. Los análisis completos del sistema se van haciendo más rápidos cuanto más se repitan, ya que el antivirus marca los archivos en buen estado para evitarlos en posteriores análisis.

16. Los cortafuegos • Un programa cortafuegos o firewall es un programa cuya finalidad es permitir o prohibir la comunicación entre las aplicaciones de nuestro equipo y la red, así como evitar ataques intrusos desde otros equipos hacia el nuestro mediante el protocolo TCP/IP. • Se encarga de controlar el tráfico entre nuestro equipo y la red local e Internet. Para que el funcionamiento de un cortafuegos sea eficaz debe tener configuradas una serie de reglas para las aplicaciones que tienen permiso de comunicación con la red (explorador de Internet, cliente de correo, aplicación de actualización de antivirus, etc.) y prohibir la comunicación de aplicaciones que no queremos que interactúen con Internet. • Cuando el cortafuegos detecta que una aplicación que intenta comunicarse con Internet no tiene configuradas las reglas al respecto, emerge una ventana que nos pregunta lo que debe hacer con esa comunicación.

17. Los cortafuegos • Configuración del cortafuegos. • Paso 1. Windows XP y Vista tienen su propio cortafuegos. Accedemos al menú Inicio -> Panel de control -> Centro de seguridad -> Firewall de Windows. • Paso 2. Para que realice su tarea, el cortafuegos debe estar activado. • Paso 3. Accedemos a la pestaña Excepciones y añadimos los programas permitidos.

18. La identidad digital y el fraude • Por definición, identidad es aquel conjunto de rasgos propios de un individuo o colectividad que los caracterizan frente a los demás. La verificación de estos rasgos es lo que nos permite determinar que un individuo es quien dice ser. Algunos de estos rasgos son propios del individuo, otros son adquiridos con el tiempo. Por supuesto, no todos los rasgos son igualmente apreciables. Hay rasgos que son apreciables a simple vista, mientras que otros están ocultos y es necesario un conocimiento y, en ocasiones, herramientas para poder verificarlos.

19. La identidad digital y el fraude • Al conjunto de rasgos que caracterizan a un individuo o colectivo en un medio de transmisión digital se le conoce como Identidad Digital. • En cualquier comunicación remota, el número de rasgos no ocultos a los que tenemos acceso se hace menor. En una conversación telefónica, de una manera inconsciente, somos capaces de determinar que la persona al otro lado del teléfono es quien dice ser porque reconocemos su voz. En una comunicación remota entre individuos o colectivos a través de Internet, lo único que recibe una entidad de la otra son Bytes. Estos Bytes son procesados por las aplicaciones correspondientes y presentados en el formato requerido (pantalla, sonidos, ejecución de aplicaciones, textos…).

20. La identidad digital y el fraude • Cada una de las entidades debe confiar en los procesos que llevan a la generación, transmisión y presentación de esos datos. • La identidad digital no existe a priori, debemos crearla y vincularla unívocamente al individuo o al colectivo, en un proceso que determinará el nivel de confianza en el sistema.

21. La identidad digital y el fraude • Autenticación • El proceso que sirve para verificar alguno de los rasgos que permiten identificar un individuo o colectividad se denomina Autenticación. Por ejemplo, en el caso de una conversación telefónica, ese proceso de reconocimiento de la voz del individuo al otro lado de la línea, realizado inconscientemente, sería una autenticación. Cuando la persona a quien entregamos nuestro DNI nos observa buscando semejanzas con la fotografía que aparece, o compara nuestra firma manuscrita en un documento con la que aparece en nuestro identificador, está ejecutando un proceso de autenticación visual.

22. La identidad digital y el fraude • Garantizar la identidad digital es un proceso complejo, especialmente cuando el medio de comunicación digital es un medio abierto, como por ejemplo Internet, donde millones de personas pueden intentar acceder al mismo tiempo a un servicio determinado. En los medios digitales, existen tecnologías muy diversas que ofrecen herramientas para generar los rasgos digitales de identidad, asociarlos a entidades y habilitar la autenticación de dichas entidades (certificados digitales, biometría, tarjeta inteligente, contraseñas dinámicas…). Muchas de estas tecnologías son complementarias entre ellas y es importante saber cómo y cuándo es necesario combinarlas.

23. La identidad digital y el fraude • Autorización • Cuando la identidad de un individuo es cuestionada, es decir, sometida a un proceso de autenticación, es porque esa entidad ha tratado de acceder a algún servicio restringido. En ese caso, tan importante como determinar que ese individuo o colectivo es quien dice ser (auténtico), es comprobar que dicha identidad tiene los derechos necesarios para acceder a ese servicio. Este proceso que tan habitualmente se desarrolla en las aplicaciones del mundo real, también es necesario en el mundo digital.

24. La identidad digital y el fraude • La usurpación de la identidad, entendida como la suplantación del titular de un derecho o crédito por un impostor para obtener un beneficio injusto, recibe cada vez más atención en materia de fraudes cometidos con la ayuda de las tecnologías de la información. Las consecuencias de la suplantación rebasan en muchos casos la pérdida económica directa del titular del derecho afectado, para comprometer su historia crediticia, su prestigio y hasta su identidad social.

25. Cifrado de la información • El cifrado de la información o la criptografíaes el arte o ciencia de cifrar y descifrar información mediante técnicas especiales y se emplea frecuentemente para permitir un intercambio de mensajes que sólo puedan ser leídos por personas a las que van dirigidos y que poseen los medios para descifrarlos. • En la jerga de la criptografía, la información original que debe protegerse se denomina texto en claro o texto plano. El cifrado es el proceso de convertir el texto plano en un galimatías ilegible, denominado texto cifrado o criptograma. Por lo general, la aplicación concreta del algoritmo de cifrado (también llamado cifra) se basa en la existencia de una clave: información secreta que adapta el algoritmo de cifrado para cada uso distinto.

26. Cifrado de la información • Las dos técnicas más sencillas de cifrado, en la criptografía clásica, son la sustitución (que supone el cambio de significado de los elementos básicos del mensaje -las letras, los dígitos o los símbolos-) y la trasposición (que supone una reordenación de los mismos); la gran mayoría de las cifras clásicas son combinaciones de estas dos operaciones básicas. • El descifrado es el proceso inverso que recupera el texto plano a partir del criptograma y la clave. El protocolo criptográfico especifica los detalles de cómo se utilizan los algoritmos y las claves (y otras operaciones primitivas) para conseguir el efecto deseado. El conjunto de protocolos, algoritmos de cifrado, procesos de gestión de claves y actuaciones de los usuarios, es lo que constituyen en conjunto un criptosistema, que es con lo que el usuario final trabaja e interactúa.

27. Cifrado de la información • Existen dos grandes grupos de cifras: los algoritmos que usan una única clave tanto en el proceso de cifrado como en el de descifrado, y los que emplean una clave para cifrar mensajes y una clave distinta para descifrarlos. Los primeros se denominan cifras simétricas, de clave simétrica o de clave privada, y son la base de los algoritmos de cifrado clásico. Los segundos se denominan cifras asimétricas, de clave asimétrica o de clave pública y forman el núcleo de las técnicas de cifrado modernas.

28. Firma digital • La firma digital o electrónica viene a solventar el problema de autentificación de los mismos, ya que equivale, a todos los efectos, a la firma autógrafa, puesto que identifica fehacientemente la autoría del mensaje. • La firma digital se basa en la criptografía y puede ser definida como una secuencia de datos electrónicos (bits) que se obtienen mediante la aplicación de un algoritmo (fórmula matemática) de cifrado asimétrico.

29. Firma digital • La utilización de la firma digital asegura que el emisor y el receptor del mensaje puedan realizar una transacción fiable. Para ello esos mensajes firmados electrónicamente: • 1º.- Atribuyen de forma irrefutable la identidad del signatario. • 2º.- Aseguran la integridad absoluta del mensaje, es decir, que el documento recibido sea exactamente el mismo que el emitido, sin que haya sufrido alteración alguna durante su transmisión. • 3º.- Garantizan su origen de forma que el emisor del mensaje no pueda repudiarlo o negar en ningún caso que el mensaje ha sido enviado por él. • 4º.- Por último, son confidenciales (el mensaje no ha podido ser leído por terceras personas).

30. Firma digital • Para obtener las claves que se usan para firmar digitalmente los mensajes es necesario dirigirse, bien personalmente o por medio de Internet, a una empresa o entidad que tenga el carácter de "Prestador de Servicios de Certificación", para solicitar el par de claves y su certificado digital correspondiente. • El prestador de servicios de certificación de firma electrónica comprobará la identidad del solicitante, bien directamente o por medio de entidades colaboradoras (Autoridades Locales de Registro), y entregará una tarjeta con una banda magnética en la que están grabados tanto el par de claves como el certificado digital. Con esa tarjeta magnética y un lector de bandas magnéticas adecuado conectado a un ordenador personal, se podrá utilizar la información de la tarjeta para firmar digitalmente los mensajes electrónicos.

31. Certificados digitales • Un certificado digital es un documento digital mediante el cual un tercero confiable (una autoridad de certificación) garantiza la vinculación entre la identidad de un sujeto o entidad y su clave pública. • Un certificado emitido por una entidad de certificación autorizada, además de estar firmado digitalmente por ésta, debe contener por lo menos lo siguiente: • Nombre, dirección y domicilio del suscriptor. • Identificación del suscriptor nombrado en el certificado. • El nombre, la dirección y el lugar donde realiza actividades la entidad de certificación. • La clave pública del usuario. • La metodología para verificar la firma digital del suscriptor impuesta en el mensaje de datos. • El número de serie del certificado. • Fecha de emisión y expiración del certificado.

32. El protocolo seguro HTTPS • El propósito del protocolo HTTP es permitir la transferencia de archivos entre un navegador y un servidor web localizado mediante una cadena de caracteres denominada dirección URL.

33. El protocolo seguro HTTPS • La comunicación entre el navegador y el servidor se lleva a cabo en dos etapas:

34. El protocolo seguro HTTPS • El navegador realiza una solicitud HTTP: • Una solicitud HTTP es un conjunto de líneas que el navegador envía al servidor. Incluye: • Una línea de solicitud: es una línea que especifica el tipo de documento solicitado, el método que se aplicará y la versión del protocolo utilizada. La línea está formada por tres elementos que deben estar separados por un espacio: • el método • la dirección URL • la versión del protocolo utilizada por el cliente (por lo general, HTTP/1.0)

35. El protocolo seguro HTTPS • Los campos del encabezado de solicitud: es un conjunto de líneas opcionales que permiten aportar información adicional sobre la solicitud y/o el cliente (navegador, sistema operativo, etc.). Cada una de estas líneas está formada por un nombre que describe el tipo de encabezado, seguido de dos puntos (:) y el valor del encabezado. • El cuerpo de la solicitud: es un conjunto de líneas opcionales que deben estar separadas de las líneas precedentes por una línea en blanco y, por ejemplo, permiten que se envíen datos por un comando POST durante la transmisión de datos al servidor utilizando un formulario.

36. El protocolo seguro HTTPS • Por lo tanto, una solicitud HTTP posee la siguiente sintaxis (<crlf> significa retorno de carro y avance de línea): • MÉTODO VERSIÓN URL<crlf> ENCABEZADO: Valor<crlf> . . . ENCABEZADO: Valor<crlf> Línea en blanco <crlf> CUERPO DE LA SOLICITUD • A continuación se encuentra un ejemplo de una solicitud HTTP: • GET http://es.kioskea.net HTTP/1.0 Accept : Text/htmlIf-Modified-Since : Saturday, 15-January-2000 14:37:11 GMT User-Agent : Mozilla/4.0 (compatible; MSIE 5.0; Windows 95)

37. El protocolo seguro HTTPS • El servidor procesa la solicitud y después envía una respuesta HTTP: • Una respuesta HTTP es un conjunto de líneas que el servidor envía al navegador. Está constituida por: • Una línea de estado: es una línea que especifica la versión del protocolo utilizada y el estado de la solicitud en proceso mediante un texto explicativo y un código. La línea está compuesta por tres elementos que deben estar separados por un espacio: • la versión del protocolo utilizada • el código de estado • el significado del código

38. El protocolo seguro HTTPS • Los campos del encabezado de respuesta: es un conjunto de líneas opcionales que permiten aportar información adicional sobre la respuesta y/o el servidor. Cada una de estas líneas está compuesta por un nombre que califica el tipo de encabezado, seguido por dos puntos (:) y por el valor del encabezado. • El cuerpo de la respuesta: contiene el documento solicitado.

39. El protocolo seguro HTTPS • Por lo tanto, una respuesta HTTP posee la siguiente sintaxis: • VERSIÓN-HTTP CÓDIGO EXPLICACIÓN <crlf> ENCABEZADO: Valor<crlf> . . . ENCABEZADO: Valor<crlf> Línea en blanco <crlf> CUERPO DE LA RESPUESTA • A continuación se encuentra un ejemplo de una respuesta HTTP: • HTTP/1.0 200 OK Date: Sat, 15 Jan 2000 14:37:12 GMT Server : Microsoft-IIS/2.0 Content-Type : text/HTML Content-Length : 1245 Last-Modified : Fri, 14 Jan 2000 08:25:13 GMT