Mecanismos de protección

Mecanismos de protección

1. Redes privadas virtuales (VPN).

   • Una VPN es una red lógica o virtual creada sobre una infraestructura compartida, pero que proporciona los servicios de protección necesarios para una comunicación segura.
   • Tipos de VPN.
     • Una red privada virtual (VPN) es una configuración que combina el uso de dos tipos de tecnologías.
       • Las tecnologías de encapsulamiento de protocolos que permiten que, en lugar de una conexión física dedicada para la red privada, se pueda utilizar una infraestructura de red pública, como Internet, para definir por encima de ella una red virtual.
     • Dependiendo de la situación de los nodos que utilizan esta red, podemos considerar tres tipos de VPN.
       • VPN entre redes locales o intranets.
         • Este es el caso habitual en que una empresa dispone de redes locales en diferentes sedes, geográficamente separadas, en cada una de las cuales hay una red privada o intranet, de acceso restringido a sus empleados. Si interesa que desde una de sus sedes se pueda acceder a las intranets de otras sedes, se puede usar una VPN para interconectar estas redes privadas y formar una intranet única.
       • VPN de acceso remoto.
         • Cuando un empleado de la empresa quiere acceder a la intranet des de un ordenador remoto, puede establecer una VPN de este tipo entre este ordenador y la intranet de la empresa.
       • VPN extranet.
         • A veces, a una empresa le interesa compartir una parte de los recursos de su intranet con determinados usuarios externos, como por ejemplo proveedores o clientes de la empresa. La red que permite estos accesos externos a una intranet se llama extranet, y su protección se consigue mediante una VPN extranet.
   • Configuraciones y protocolos utilizados en VPN.
     • A cada uno de los tipos de VPN que acabamos de ver le suele corresponder una configuración específica.
       • En las VPN entre intranets, la situación más habitual es que en cada intranet hay una pasarela VPN, que conecte la red local con Internet.
       • En las VPN de acceso remoto, a veces llamadas VPDN, un usuario se puede comunicar con una intranet a través de un proveedor de acceso a Internet, utilizando tecnología convencional.
       • El caso de las VPN extranet puede ser como el de las VPN entre intranets, en que la comunicación segura se establece entre pasarelas VPN, o bien como el de las VPN de acceso remoto, en que un cliente VPN se comunica con la pasarela de la intranet.
     • Hay protocolos que pueden ser utilizados para establecer los túneles, dependiendo del nivel de la comunicación al cual se quiera realizar la protección.
       • Túneles a nivel de red: El protocolo utilizado en la gran mayoría de configuraciones VPN es IPsec en modo túnel, generalmente con ESP par cifrar los datos, y opcionalmente con AH para autenticar los paquetes encapsulados.
       • Túneles a nivel de enlace: En el caso de las VPN de acceso remoto o VPDN, existe la posibilidad de encapsular tramas PPP, que son las que transmite normalmente un cliente VPN de este tipo, sobre datagramas IP. Hay diversas opciones para encapsular PPP sobre IP.
       • Túneles a nivel de transporte: El protocolo SSH (Secure Shell), como veremos en el módulo de aplicaciones seguras, ofrece la posibilidad de redirigir puertos TCP sobre un canal seguro, que podemos considerar como un túnel a nivel de transporte.

2. Criptografía.

   • La criptografía estudia, desde un punto de vista matemático, los métodos de protección de la información. Por otro lado, el criptoanálisis estudia las posibles técnicas utilizadas para contrarrestar los métodos criptográficos, y es de gran utilidad para ayudar a que estos sean más robustos y difíciles de atacar. El conjunto formado por estas dos disciplinas, criptografía y criptoanálisis, se conoce como criptología.
   • Existen dos formas de llevar a cabo un ataque.
     • Mediante el criptoanálisis, es decir, estudiando matemáticamente la forma de deducir el texto en claro a partir del texto cifrado.
     • Aplicando la fuerza bruta, es decir, probando uno a uno todos los valores posibles de la clave de descifrado x hasta encontrar uno que produzca un texto en claro con sentido.
   • Criptograía de clave simétrica.
     • Los sistemas criptográficos de clave simétrica se caracterizan porque la clave de descifrado x es idéntica a la clave de cifrado k, o bien se puede deducir directamente a partir de ésta.
       • A continuación se detallara las características básicas de los principales algoritmos criptográficos de clave simétrica, que agruparemos en dos categorías
         • Algoritmos de cifrado en flujo:El funcionamiento de una cifrado en flujo consiste en la combinación de un texto en claro M con un texto de cifrado S que se obtiene a partir de la clave simétrica k. Para descifrar, sólo se requiere realizar la operación inversa con el texto cifrado y el mismo texto de cifrado S.
         • Algoritmos de cifrado en bloque: En una cifra de bloque, el algoritmo de cifrado o descifrado se aplica separadamente a bloques de entrada de longitud fija b, y para cada uno de ellos el resultado es un bloque de la misma longitud.
     • Una función hash nos permite obtener una cadena de bits de longitud fija, relativamente corta, a partir de un mensaje de longitud arbitraria
       • Se entiende que una función hash o de resumen es segura si cumple las siguientes condiciones.
         • Es unidireccional, es decir, si tenemos H =h(M) es computacionalmente inviable encontrar M a partir del resumen H.
         • Es resistente a colisiones, es decir, dado un mensaje M cualquiera es computacionalmente inviable encontrar un mensaje M'≠M tal que h(M') = h(M).
       • Ejemplos de funciones hash.
         • MD5 (Message Digest 5).
         • SHA-1 (Secure Hash Algorithm-1).
   • Criptografía de clave pública.
     • Algoritmos de clave pública.
       • En un algoritmo criptográfico de clave pública se utilizan claves distintas para el cifrado y el descifrado. Una de ellas, la clave pública, se puede obtener fácilmente a partir de la otra, la clave privada, pero por el contrario es computacionalmente de muy difícil obtención la clave privada a partir de la clave pública.
       • Ejemplos de algoritmos de clave pública.
         • Intercambio de claves Diffie-Hellman.
         • RSA.
         • ElGamal.
         • DSA (Digital Signature Algorithm).
   • Infraestructura de clave pública (PKI).
     • Certificados de clave pública
       • Un certificado de clave pública o certificado digital consta de tres partes básicas.
         • Una identificación de usuario como, por ejemplo, su nombre.
         • El valor de la clave pública de este usuario.
         • La firma de las dos partes anteriores.

3. Sistema de Autenticación.

   • Autenticación de mensaje.
     • La autenticación de mensaje o autenticación de origen de datos permite confirmar que el originador A de un mensaje es auténtico, es decir, que el mensaje no ha sido generado por un tercero Z que quiere hacer creer que lo ha generado A.
       • Existen dos grupos de técnicas para proporcionar autenticación de mensaje.
         • Los códigos de autenticación de mensaje o MAC, basados en claves simétricas.
         • Las firmas digitales, que se basan en la criptografía de clave pública.
   • Autenticación de entidad.
     • La autenticación de mensaje o autenticación de origen de datos permite confirmar que el originador A de un mensaje es auténtico, es decir, que el mensaje no ha sido generado por un tercero Z que quiere hacer creer que lo ha generado A.
     • Las técnicas utilizadas para la identificación de un usuario A pueden estar basadas en:
       • Algo que A sabe como, por ejemplo, una contraseña o una clave privada.
       • Algo que A tiene como, por ejemplo, una tarjeta con banda magnética o con chip.
       • Algo que A es o, dicho de otro modo, alguna propiedad inherente a A como, por ejemplo, sus características biométricas.
     • A continuación se describen dos grupos de técnicas que se pueden utilizar para la autenticación de entidad.
       • Las Contraseñas.
         • Las basadas en contraseñas (o passwords, en inglés), también llamadas técnicas de autenticación débil.
         • Técnicas para dificultar los ataques de diccionario
       • Protocolos de reto-respuesta
         • Las basadas en protocolos de reto-respuesta (challenge-response, en inglés), también llamadas técnicas de autenticación fuerte.
         • Los protocolos de reto-respuesta se pueden clasificar en dos grupos.