gracielaa203@gmail.com

Seguridad Informática

Medir resultados de la gestión de TI en una organización
1. Auditoría
  1. ISO/IEC 27001
  2. Reunir y evaluar
    1. de manera objetiva y sistemática
      1. las pruebas relativas a hechos de manera que se garantice la correspondencia entre estos hechos y criterios establecidos
  3. Tipos
    1. 1) Financiera
      1. 2) Operacional
        3) Cumplimiento
    2. Tradicional
      1. 1) y 3)
    3. Integral
      1. 1) 2) 3)
  4. Fortalezas
    1. Credibilidad
      1. Sigue estándares ampliamente conocidos y usados
        estatus legal
        criterios definitivos y objetivos
2. Evaluación
  1. SCAMPI (Standard CMMI Appraissal Method for process improvement)
  2. análisis sistemático
    1. de operación y/o defectos
      1. de políica o programa
        comparándolos con un grupo de estándares implícitos o explícitos
  3. Tipos
    1. E. Formativa
      1. Info para mejorar un proceso antes/durante su aplicacón
    2. E. Sumativa
      1. Info para mejorar un proceso después de su aplicacón
  4. Fortalezas
    1. complejidad e incertidumbre
      1. explica el por qué
        reclama comprensión de lo sucedido
        flexible en diseño y práctica
3. Diferencias
  1. Evaluación
    1. depende cliente
      1. respuesta causalmente
        no criterios
        papel no articulado
        exámen parcial
        exámen certificación
  2. Auditoría
    1. independiente
      1. respuesta conformidad
        criterios
        evidencias
4. Similitudes
  1. Instrumentos para valorar desempeño
    1. procedimientos establecidos y sistemáticos
      1. practicados por profesionales
Modelos clásicos de arquitectura de seguridad
1. Presentación formal de una política de seguridad
2. Clasificación
  1. Abstractos
    1. Entidades abstractas (objetos y sujetos)
  2. Concretos
    1. Traducen entidades abstractas a un sistema real (procesos y archivos)
3. Confidencialidad
  1. Bell-LaPadula
    1. 70s/confidencialidad/ abstracto/guardasecretos/ no integridad
      1. 1) no real- up
        evitar espionaje
      2. 2) No write-down
        evitar divulgación
      3. 3) Ambas operaciones se pueden realizar en el mismo nivel
        strong rule
  2. Brewer-Nash
    1. Tambíen puede ser conflicto de intereses
      1. Orientado confidencialidad de datos
        Principio
        Un sujeto puede acceder a lo sumo a un solo conjunto de datos de empresas para cada clase de onflico de intereses
4. Integridad
  1. Biba
    1. 1997/Integridad/ abstracto
      1. 1) No read-down
        Evitar fuentes dudosas
      2. 2) No write-up
        Evitar contaminar otros documentos
  2. Clark-Wilson
    1. 80s/ Integridad/ 3 principios operación/ concepto de bitácora/ concreto
      1. 1) WFT (Well formed transactions)
      2. 2) Separación de tareas
      3. 3) Las modificaciones deben registrarse
5. Control de acceso
  1. Take-Corant
    1. Orientada a sistemas de autorización/ principio de operación
      1. vèrtice: usuario w: escritura r: lectura c-ejecución alfa: (w,r,c)
  2. Matriz de accesos (MA)
    1. 1971/ el más utilizado/ conjunto de recursos/ denominados objetos/ cuyo acceso debe ser controlado/ conjunto de accesos/ acceden a dichos objetos
      1. 1) Graham-Denning (GD)
      2. 2) Harrison-Ruzzo-Uilman (HRU)
Criptología
1. concepto
  1. Griego: Kripto-oculto / logos-discurso ciencia escritura secreta
2. Clasificación
  1. criptografía
    1. Cifrar información
      1. Estudio de algoritmos usados para proteger información
  2. Criptoanálisis
    1. Romper algoritmos de cifrado
      1. Descrifrar Obtener el significado de los mensajes
3. Ataques Criptoanalíticos
  1. Ruptura total
    1. El atacante deduce la clave secreta
  2. Deducción global
    1. El atacante descubre un algoritmo de cifrado/descrifrado idéntico pero no obtiene la clave
  3. Deducción local
    1. El atacante ha encontrado la forma de crear cifrados adicionales a los correctos
4. Requisitos de seguridad para cifrado
  1. Robustez
    1. 1) Conocer el algoritmo de ciifrado
      1. 2) Contar con un determinado número de textos cifrados junto con los originales
        No debe ser suficiente para descrifrar el texto u obtener la clave
  2. Confianza
    1. Una vez que se conoce la clave
      1. todas las comunicaciones que utilicen esta clave pueden ser leídas
  3. Vida útil de algoritmo
    1. Se considera vulnerado
      1. cuando se encuentra una debilidad en el cifrado
        que puede ser explotada con una complejidad + que la fuerza bruta
        Intentar cada clave posible hasta que se obtenga una traducción legible del texto nativo
Algoritmos de cifrado
1. Clasificación
  1. Criptografía simétrica
    1. Una clave para cifrar y descifrar
      1. que tiene que conocer el emisor y receptor
        confidencialidad y no repudio
        rápido y sencillo
    2. problema
      1. reto: mantener la clave en secreto
        Clave por cada tipo de comunicación
    3. Criptología Simétrica
      1. Clásico
        Cifrado Cèsar
        x sustitución
        + simple + antiguo
        C = M + [Kmod !A!]
        M = C - [Kmod !A!]
        Cada letra del texto plano M se sustituye por la letra cifrada C, con la clave K
        Cifrado Vigenére
        Cada cifrado se denota por una letra clave
        La Clave y el texto misma longitud
        Ci (Mi +Ki) mod |A|
        Mi = (Ci - Ki) mod !A!
        Cifrado de Hill
        Cifrado por bloque
        Cifrado a través de Matriz
        C = KxM mod !A!
        Descrifrado
        M = K ^ -1 (mod !A!)
      2. Moderno
        DES (Data Encryption Estándar)
        Antes LUCIFER
        bloques de 64 bits
        Mismo algoritmo cifrar y descrifrar
        NIST
        Ventajas
        Rápido
        Sencillo
        Fácil de implementar
        Desventajas
        Vulnerabilidades conocidas
        Clave corta (56 bits)
        Aún asi la NSA lo considera seguro
        Variantes
        Triple DES (3DES)
        No cambia algoritmo, solo implementación
        2 claves (k1 y k2)
        Texto claro
        Cifrado con K1
        Descrifrado con K2
        Cifrado con k1
        Texto cifrado
        seguro por su clave de 11 bits
        válido actualmente
        C = (Ek1 (Dk2 (Ek1(M)))
        AES (Advanced Encryption Estándar)
        Elegido en un concurso
        Basado en RIJNDAEL
        versión estándar libre de distrubución
        Tamaño de clave y de bloque variantes
        Flexible
        IDEA(International Data Encryption Algorithm)
        cifrado por bloque + seguro
        clave 128 bits
        mismo algoritmo cifrar y descrifrar
        aplicaciones PGP Pretty Good Privacy
        Otros
        LOKI/ RC2/ CAST/ BLOWFISH/ SKIPJACK/ AEE (Algoritmo Extendido Euclides)
  2. Criptografía asimétrica
    1. dos claves
      1. pública
        se puede difundir a todas las personas que necesiten enviar algo
      2. privada
        NO debe ser revelada
    2. mil veces + lenta
    3. Mitos
      1. + seguros que simétricos (FALSO)
        la seguridad depende de la longitud de la clave
        ambos son vulnerables al criptoanálisis
        la seguridad radica en la implementación
      2. han dejado obsoletos a simétricos (FALSO)
        simétricos son vigentes x ser fáciles y ràpidos
        usados en la seguridad de protocolos
    4. Claves
      1. C= EKub(M)
        M=DKrb(C)
        KU (Key Universal (Pública))
        KR (Key Reserved (privada))
      2. cualquiera de las claves puede usarse para cifrado y descrifrado
        M = (Dkub [Ekrb(M)] M=(Dkrb {Ekub (M)]
    5. Algoritmos
      1. Algoritmo RSA
        Mensajes mediante números
        uno de los más seguros
        dificultad de factorizar números grandes
        7 pasos
        números primos
        emisor (n,e) receptor (n,e,d)
        C=M^e mod n M = C^d mod n
        KU = {e,n} KR = {d,n}
        Robustez
        entre + grandes + seguro
        entre + grande el orden + tiempo de procesamiento
        claves del orden 1024 bits
      2. Diffie-Herlman
        algoritmo intercambio de claves
        +200 no se puede calcular
        p,g,a,b
        A=g^a mod p
      3. El Gamal
        firmas digitales extendido a cifrado de mensajes
        GNU privacy guard
      4. Rabin
        problema matemático de factorización
        raìces cuadrado módulo con número compuesto
        extensión de RSA
      5. DSA (Digital signature Algorithm)
        propuesto por NIST
        variante de El Gamal
        3 etapas
        Generación de claves, firma y verificación
  3. Criptografía Híbrida
    1. aprovecha
      1. rapidez del simétrico
      2. seguridad de asimétrico
    2. cifrar grandes cantidades de info
      1. Info cifrada con simétrica
  4. Tipo de operación
    1. Sustitución (confusión)
      1. Sustituir las unidades del texto original por otras
    2. Transposición
      1. Crear el texto cifrado desordenando el original
    3. Matrices
  5. Cifrado
    1. Bloques
      1. procesa un bloque de elemento
        bloque de salida x cada bloque de entrada
    2. lujo
      1. procesa todos los elementos de entrada continuamente,
        produce la salida de un elemento cada vez
2. Objetivo
  1. Mantener confidencial la información, aunque es + robusta se usa para integridad
3. PGP
  1. (Pretty good privacy) Intercambio de información seguro a travez de internet
Funciones Hash
1. toma un arreglo de datos variables y produce una cadena de caracteres físicos
2. Propiedades de las funciones hash
  1. Unidireccionalidad M->h(M)
    1. Compresión M <-h(M)
      1. Facilidad de cálculo
        difusión
3. Colisiones
  1. Resistencia fuerte y débil
    1. 2 entradas diferentes -> misma salida
      1. simple
        computacionalmente imposible
        conocido M encontrar otro M'
        tal que h(M) = h(M')
      2. fuerte
        computacionalmente dificil
        encontrar un par M M'
        tal que h(M) = h(M')
4. Paradoja de cumpleaños
  1. Ataque de fuerza bruta para colisiones
    1. encontrar 2^n/2
      1. confianza = probabilidad + 50%
5. Algoritmos
  1. MD5 (message-digest algortihm 5)
    1. longitud 128 bits
      1. representado por número de 32 digitos
    2. integridad para descargar archivos web
      1. autenticación de usuario UNIX
        Completamente vulnerado
        Cambia todo x un dígito
  2. SHA-1 (Secure hash algorithm)
    1. mismas técnicas de MD5
      1. Establecido por NIST
    2. aplicaciones que requieren autenticidad
      1. almacenamiento de datos
  3. Otros
    1. *RIPEMD *N-Hasm *Snefrv *Tiger *Panama
  4. MD5 vs SHA-1
    1. SHA-1 + seguro y resistente
      1. + lento xq procesa + bits
      2. estándar como función hash
    2. 2^64 operaciones md5
      1. 2^80 para SHA-1
6. Algunos problemas
  1. Autenticidad del emisor
  2. Autenticidad del mensaje
  3. Se solucionan
    1. mecanismos de autenticación
      1. Autenticación con MAC
        Message Authentication Code
        A y B comparten una clave secreta K
        MAC= Ck(M)
        MAC = MAC'?
        El mensaje no fue alterado
        El mensaje proviene de A
      2. Firma digital (cifrado asimétrico)
        permite al receptor determinar la entidad que originó el mensaje
        cifrar con clave privada
        descrifrar con clave pública
        Inconvenientes
        alto costo para cifrar
        no es necesario cifrar todo el mensaje
        validez del repositorio
        Soluciòn
        funciones hash pueden apoyar el proceso de autenticación de mensaje
      3. funciones hash
7. PKI (Public Key Infraestructure)
  1. sistema encargado de la gestiòn de certificados digitales y aplicaciones de firma digital y cifrado
  2. proporciona
    1. Integridad
      1. Confidencialidad
        Autenticidad
  3. Servicios
    1. Emisión/distribución certificados
      1. generación clave pública y privada
        renovación de certificados
  4. ¿Cómo se garantiza que la llave pública en realidad pertenece a quien dice pertenecer?
    1. Certificados digitales
      1. Archivo que vincula a un usuario o identificador con una clave pública
        mediante una autoridad certificadora (CA)
  5. Elementos
    1. Autoridad de certificación (CA)
      1. Autoridades de registro (RA)
        Partes utilizadoras
        Repositorios
        titulares de certificados
        Autoridad de validación (opcional)

Next up

gracielaa203@gmail.com

Description

Resource summary

Similar

	Created by gracielaa203 over 8 years ago