Artículo BIT
Seguridad en la Red: La seguridad en la Red como condicionante
La seguridad en la Red como condicionante Internet en su origen era un proyecto exclusivo para una comunidad especifica en el que la seguridad estaba prácticamente garantizada. Su posterior evolución la ha transformado en una telaraña en la que es realmente difícil controlar la identidad, intención y movimientos de cada uno de los hilos. El aumento de su utilización para el desarrollo de procesos administrativos, financieros y comerciales, en los que es imprescindible la transferencia de datos confidenciales, ha convertido la seguridad en uno de los principales condicionantes para conseguir la consolidación y el aprovechamiento de todas las funcionalidades de la red. El Concepto de confianza (Trust) El crecimiento señalado se basa en la creciente necesidad de educar al usuario final sobre los riesgos que corren y sobre las herramientas disponibles para combatir los ataques de virus, hachers y crackers. Todavía se recuerdan determinadas acciones destructivas y delictivas como la del programa “Internet Worm” que, creado por Robert Morris, dejo fuera de servicio en noviembre de 1988 a 6.000 ordenadores de los 60.000 ordenadores conectados a Internet, u otros casos más recientes, como los ataques al Senado, Yahoo, y Amazon, o el cercano “I Love You”. La confianza, en el sentido de trust, ha jugado un papel esencial en el desarrollo de la actividad comercial a lo largo de la historia de la humanidad. Se puede afirmar, sin ninguna duda, que la solidez de cualquier relación o proceso comercial ha sido el resultado del equilibrio siempre inestable de tres elementos: la seguridad jurídica del contexto en donde se realiza, el nivel de riego que se esta dispuesto a asumir y la confianza existente entre las partes que intervienen en una transacción. Por todo ello, resulta fácil comprender que uno de los retos fundamentales es hallar el modo de generar un nivel de confianza (trust) similar al del mundo físico. Veamos 2 ejemplos que nos aclara la situación: según figura 1.1 y figura 1.2. Por tanto si hay confianza en el uso de la Red, Internet hará posible el uso extensivo de la red (e-mail, e-comerce, móvil-comerce, e-servicios, etc) de todo el mundo. Nos centraremos un poco más en la seguridad del comercio electrónico, ya que éste es el que más futuro en cuanto a transacciones. EL IMPERATIVO DE LA SEGURIDAD EN EL COMERCIO ELECTRONICO Un estudio de Pricewaterhouse Cooper estima que un 68% de los españoles cree que los asuntos de seguridad son la barrera que más obstaculiza el desarrollo del comercio electrónico en España. Todo ello unido a las noticias negativas ha provocado un clima de inseguridad y de grave desconfianza. Aunque un informe de e-Marketer revela que las transacciones digitales fraudulentas apenas representan actualmente un 0,03% del B2C (Comercio electrónico empresas- consumidor). Esto hará que la inversión en seguridad que tendrá que realizar las empresas va a aumentar considerablemente. Según las previsiones de Global Information Exchange, el mercado de seguridad en Internet moverá de 382.000 pesetas en 1998 a 1,4 billones de pesetas en 2003. Ante una encuesta a directivos de empresas, sobre la certeza del e-comerce, solo un 5% expresó dudas ó preocupación respecto a la seguridad de su empresa, según figura 2.1. ASPECTOS QUE GENERAN SEGURIDAD La principal fortaleza de Internet, su carácter abierto, es también su principal vulnerabilidad. Por lo que las empresas,, gobiernos e investigadores trabajan en éste aspecto. Por ejemplo: A. La firma clave pública (PKI) y funciones HASH Una PKI es un sistema compuesto de Hardware, Software, procesos, reglas y personas; para así crear un entrono seguro y fiable, todo ello a partir de la aplicación de los principios y tecnología de clave publica. Las firmas digitales se generan utilizando Funciones Hast Unidireccionales, para abaratar el coste computacional del cifrado y descifrado, reduciendo los tiempos. Las funciones utilizadas para firma (MD5 y SHA) son suficientemente seguras. Sin embargo hoy en día se usa de forma estándar el conjunto del algoritmo de cifrado asimétrico RSA, junto con la función hasta MD, esto es RSA-MD5. En el momento que la información tenga interés real, contrato compra-venta, órdenes de transferencia económica, información que puede ser delito... existe la necesidad de relacionar esa entidad virtual con una entidad real. En la mayor parte de los sistemas la credencial, además de identificación sobre la entidad real, certifica dos claves públicas. Una se usará para cifrar las comunicaciones y la otra para la realización de firmas digitales. B. Protocolo de seguridad SET La confianza del mercado en este protocolo, es debida a los desarrolladores de la especificación: VISA y MASTERCARD, al que se unieron IBM, Microsoft, Netscape, GTE, Verising, SAIC Tecnise Systems. Se trata de un estándar abierto que utiliza Tecnología PKI y criptografía, simétrica basada en RSA. C. Certificados X.509 y autoridades de Certificación y de Registro. El éxito del protocolo SET se basa en que aplica la norma X-509. Para que una clave publica se pueda considerar valida y asociada o un usuario determinado debe tener un certificado que así lo demuestre. El sistema más usado es el de los certificados de clave publica firmados por una Autoridad de Certificación (AC) según la norma X-509 (figura 3.2). Como vemos el X.509 tiene una estructura totalmente jerárquica, esto hace que el protocolo SET tenga una jerarquía en árbol de credencial. Esta clave está soportada por lo que se conoce como Autoridad de Certificación (C.A.) o Entidades de Certificación que realizan la función de “notario digital”. Las entidades de certificación existentes en España: ACE, CERES, FESTE, CAMERFIRMA, etc. La Autoridad de Registro tienen la responsabilidad de autentificar la identidad de los solicitantes. Es en esas AR en quienes las Autoridades de Certificación confían para saber a quien tienen que otorgar un certificado digital. D. Protocolo TCP/IP, versión IPv6. Esta nueva versión incluye mecanismos de autentificación, integridad y privacidad, cosa que no ocurre con la versión IPv4. Esto facilitaran desarrollos tecnológicos en el sentido de mejorar la seguridad y confianza. E. Implantación de políticas de seguridad. Implantación de Firewall para proporcionar seguridad en la red. Utilización de cifrados como DES, RSA y ahora el de Rijmen y Deemen. Utilización de aplicaciones de e-mail seguras como: S/MIME, SMTP sobre SSL, PGP. Es decir debemos establecer un plan de seguridad donde se debe explicar, delimitar responsabilidades, haya un lenguaje común, se fuerce al cumplimiento y se someta a revisiones para así actualizar tanto tecnológicamente como funcional. Todo ello conlleva a analizar: – La naturaleza de la información: proceso, almacenamiento y transmisión. – Sus propiedades: confidencialidad, integridad y disponibilidad. – Y el tipo de medidas de seguridad: Tecnológicas, normas y procedimientos, formación y entretenimiento.. Bit - Nº 128 Sumario Editorial Opinión (1) Opinión (2) A Vuelapluma T. Castilla y León H. Valencianos Murcia Cataluña Bit a Bit Display Display Empresa Gente Bit Entrevista Especial Perfil Café Redacción GRETEL ¿Qué es? Rincón Internet Pulso del Mercado Bit Recomienda N José C. Jiménez Sabio Gerente del Centro Comercial Radiovisión, S.A. Ingeniero de Telecomunicación ARTÍCULOS Seguridad en la Red Internet ¿seguro? Los servicios de certificación: oportunidades y retos Arquitectura de seguridad en Red La seguridad en la Red como condicionante La seguridad en Internet: el punto de vista del usuario
30 oct 2015