CURSO DOCENTE

: :

LEGISLACIN INFORMTICA Victoria Toledo Zegarra

LA CRI TOGRAF!A COMO ELEMENTO DE LA SEGURIDAD INFORMTICA La criptografa es la tcnica que protege documentos y datos. Funciona a travs de la utilizacin de cifras o cdigos para escribir algo secreto en documentos y datos confidenciales que circulan en redes locales o en internet. Su utilizacin es tan antigua como la escritura. Los romanos usaban cdigos para ocultar sus proyectos de guerra de aquellos que no deban conocerlos, con el fin de que slo las personas que conocan el significado de estos cdigos descifren el mensaje oculto. partir de la evolucin de las computadoras, la criptografa fue ampliamente divulgada, empleada y modificada, y se constituy luego con algoritmos matem!ticos. dem!s de mantener la seguridad del usuario, la criptografa preserva la integridad de la "eb, la autenticacin del usuario as como tambin la del remitente, el destinatario y de la actualidad del mensaje o del acceso. #n $nternet, las principales amenazas para la proteccin de la informacin provienen de%

ne&os a mensajes enviados por correo electrnico infectados con virus. #l intercambio de cdigos de virus. Fire"alls o cortafuegos mal configurados. taques a la disponibilidad de los recursos de informacin e&istentes en la red 'bancos de datos o soft"are disponibles para descargar por los usuarios(. La alteracin de las p!ginas "eb. #l )repudio) y las estafas asociadas al comercio electrnico. Las vulnerabilidades de los sistemas operativos y la desactualizacin de los )parc*es) concernientes a su seguridad. La rotura de contrase+as. La suplantacin de identidades. #l acceso a p!ginas pornogr!ficas, terroristas, etc. #l robo y la destruccin de informacin. ,rdida de tiempo durante el acceso a sitios ajenos a la razn social de la entidad. #l *ec*o de que *erramientas de *ac-ing y crac-ing se ofrezcan como free"are.

Las medidas tomadas para enfrentar las amenazas inform!ticas pueden clasificarse en dos grupos% a( Seg"ridad #$%ica & l'gica() #l trmino seguridad fsica se emplea frecuentemente para referirse a las medidas de proteccin e&ternas. .ormalmente, se implementan mediante dispositivos elctricos, electrnicos, etctera. #llas son, probablemente, las primeras que se introducen en todas las instalaciones inform!ticas. #sto se debe a dos factores/ por un lado, ante la ocurrencia de una cat!strofe las prdidas seran completas, por otro, estas

medidas de proteccin son generalmente las m!s f!ciles de tomar. Su costo no es e&cesivo 'con la e&cepcin de los sistemas de continuidad elctrica( y su mantenimiento no presenta dificultades especiales.

La primera medida de proteccin para las salas de los centros de procesamiento de datos '0,1(, com2n a todas las amenazas e&puestas, es la correcta seleccin de su ubicacin geogr!fica. 3na segunda consideracin, tambin de car!cter general, es su adecuada construccin y su situacin idnea dentro del edificio. b( Seg"ridad t*c+ica o l'gica() ,or su parte, las medidas de seguridad tcnicas y lgicas, pretenden proteger, tanto el soft"are 'sea de base o de aplicacin( como los datos. ,ueden implementarse en dispositivos *ard"are o en productos soft"are. ,ara el desarrollo de estas medidas, se *a *ec*o necesaria una investigacin acadmica muy intensa, principalmente durante los 2ltimos 45 a+os, que *a generado varios modelos tericos de inters como% el control de accesos, el control del flujo de la informacin/ as como el desarrollo de criptosistemas de clave privada y p2blica y de sistemas de firma digital y no repudio en la transmisin de datos. 0uando se recibe un mensaje no slo es necesario poder identificar de forma unvoca al remitente, sino que este asuma todas las responsabilidades derivadas de la informacin que enva. #n este sentido, es fundamental impedir que el emisor pueda rec*azar o repudiar un mensaje, es decir, negar su autora sobre la informacin que enva y sus posibles consecuencias. esto se denomina no repudio en el conte&to de la transmisin de datos. La posibilidad de interconectarse mediante las redes *a abierto nuevos *orizontes para e&plorar m!s all! de las fronteras nacionales. ,ero con ello, surgieron tambin nuevas amenazas para los sistemas computarizados y la informacin que atesoran. #ntre las propiedades m!s importantes de los documentos electrnicos se encuentran la confidencialidad y la autenticidad. La primera se refiere a la posibilidad de mantener un documento electrnico inaccesible a todos, e&cepto a una lista de individuos autorizados. La autenticidad, por su parte, es la capacidad de determinar si uno o varios individuos *an reconocido como suyo y se *an comprometido con el contenido del documento electrnico. #l problema de la autenticidad en un documento tradicional se soluciona mediante la firma autgrafa. 6ediante su firma autgrafa, un individuo, o varios, manifiestan su voluntad de reconocer el contenido de un documento, y en su caso, a cumplir con los compromisos que el documento establezca para con el individuo. Los problemas relacionados con la confidencialidad, integridad y autenticidad en un documento electrnico se resuelven mediante la tec+olog$a lla,ada Cri-togra#$a. 1ebido a su importancia entre los aspectos tratados actualmente en materia de seguridad inform!tica, los autores de este trabajo se propusieron realizar una apro&imacin terico 7 pr!ctica al tema con el objetivo de comprender sus principales aristas y determinar algunas de las tendencias fundamentales que caracterizan el desarrollo de esta disciplina.

DIFERENCIA ENTRE CRI TOGRAF!A . SEGURIDAD INFORMTICA #n un modelo criptogr!fico tpico, e&isten dos puntos% )a) y )b), que se consideran fiables y, entre ellos, se transmite informacin mediante un canal no fiable. La 0riptografa se ocupa de los problemas relacionados con la transmisin confidencial y segura por el medio no fiable, en tanto la seguridad inform!tica se ocupa de asegurar la fiabilidad de los nodos )a) y )b). La 0riptografa se divide en dos grandes ramas, la Cri-togra#$a de cla/e -ri/ada o %i,*trica y la Cri-togra#$a de cla/e -01lica o a%i,*trica.5 La primera se refiere al conjunto de mtodos que permiten una comunicacin segura entre las partes siempre que, con anterioridad, se intercambie la clave correspondiente, que se denomina clave simtrica. La simetra se refiere a que las partes tienen la misma llave, tanto para cifrar como para descifrar. La Cri-togra#$a %i,*trica, se *a implementado en diferentes tipos de dispositivos% manuales, mec!nicos, elctricos, *asta llegar a las computadoras, donde se programan los algoritmos actuales. La idea general es aplicar diferentes funciones al mensaje que se desea cifrar de modo tal, que slo conociendo la clave, pueda descifrarse. unque no e&iste un tipo de dise+o est!ndar, tal vez, el m!s popular es el de Fiestel,5 que realiza un n2mero finito de interacciones de una manera particular, *asta que finalmente el mensaje es cifrado. #ste es el caso del sistema criptogr!fico simtrico m!s conocido% DES 2Data E+cr&-tio+ Sta+dard(. #ste 2ltimo, el 1#S, es un sistema criptogr!fico que toma como entrada un bloque de 89 bits del mensaje y lo somete a 48 interacciones. Su clave de 58 bits, en la pr!ctica tiene 89 bits, porque a cada conjunto de : bits se le agrega un bit que puede utilizarse para establecer la paridad. 1#S tiene 9 modos de operacin% #0; '#lectronic 0odeboo- 6ode( para mensajes cortos, de menos de 89 bits, 0;0 '0ip*er ;loc0*aining 6ode( para mensajes largos, 0F; '0ip*er ;loc- Feedbac-( para cifrar bit por bit o byte por byte y el <F; '<utput Feedbac- 6ode( con el mismo uso, pero que evita la propagacin de errores.:744 =asta el momento, no se *a podido romper el sistema 1#S mediante la deduccin de la clave simtrica a partir de la informacin interceptada/ sin embargo, con un mtodo de fuerza bruta, la prueba de alrededor de >58 posibles claves, pudo descifrarse 1#S en enero de 4???.5 #llo implica que, es posible obtener la clave del sistema 1#S en un tiempo relativamente corto/ as, se *a vuelto inseguro para propsitos de alta seguridad. La opcin que se *a tomado para sustituir a 1#S es el cifrado m2ltiple, que aplica varias veces el mismo algoritmo para fortalecer la longitud de la clave y que *a tomado forma como nuevo sistema para el cifrado y se conoce actualmente como triple71#S o @1#S. La 0riptografa de clave p2blica o asimtrica, tambin denominada AS por las siglas de los apellidos de sus inventores Aivest S*amir y delman, es por definicin a3"ella 3"e "tili4a do% cla/e% di#ere+te% -ara cada "%"ario5 "+a -ara ci#rar 3"e %e lla,a cla/e -01lica & otra -ara de%ci#rar 3"e e% la cla/e -ri/ada( El +aci,ie+to de la Cri-togra#$a a%i,*trica oc"rri' co,o re%"ltado de la 10%3"eda de "+ ,odo ,6% -r6ctico de i+terca,1iar la% lla/e% %i,*trica%.5 #l e%3"e,a -ro-"e%to e+ RSA %e e7-lica as% 6ediante un programa de cmputo cualquier persona puede obtener un par de n2meros, matem!ticamente relacionados, a los que se denominan llaves. 3na llave es un n2mero de gran tama+o, que usted puede conceptualizar como un mensaje digital, como un arc*ivo binario, o como una

cadena de bits o bytes. Las llaves, p2blicas y privadas, tienen caractersticas matem!ticas, su generacin se produce siempre en parejas, y se relacionan de tal forma que si dos llaves p2blicas son diferentes, entonces, las correspondientes llaves privadas son diferentes y viceversa. #n otras palabras, si dos sujetos tienen llaves p2blicas diferentes, entonces sus llaves privadas son diferentes. La idea es que cada individuo genere un par de llaves% p2blica y privada. #l individuo debe de mantener en secreto su llave privada, mientras que la llave p2blica la puede dar a conocer. #l procedimiento de firma de un documento digital, por ejemplo, implica que, mediante un programa de cmputo, un sujeto prepare un documento a firmar y su llave privada 'que slo l conoce(. #l programa produce como resultado un mensaje digital denominado firma digital. Buntos, el documento y la firma, constituyen el documento firmado. #s conveniente se+alar que, a diferencia de la firma autgrafa, si dos documentos son diferentes entonces la firma digital tambin es diferente. #n otras palabras, la firma digital cambia de documento a documento, si un sujeto firma dos documentos diferentes producir! dos documentos firmados diferentes. Si dos sujetos firman un mismo documento, tambin se producen dos documentos firmados diferentes. #l proceso de autentificacin se efect2a de la siguiente forma% 1os puntos $ y $$ mantienen comunicacin, conociendo $ la llave p2blica de $$. 1esde el punto $$, se enva un documento firmado digitalmente y un criptograma asociado que slo es posible *acerse utilizando su clave privada. #ntonces $, utilizando la llave p2blica de $$ genera un criptograma reflejo, compara ambos criptogramas y, si son iguales, el documento es autntico. Si alguna parte del documento o parte de la firma se modifica, aunque sea ligeramente, entonces, el procedimiento de autentificacin indicar! que el documento no es autntico. Si una llave p2blica autentifica un documento firmado, entonces el documento fue firmado con la correspondiente llave privada, es decir, si un individuo tiene asociada la llave p2blica que autentifica el documento, entonces, el documento fue efectivamente firmado por ese individuo. diferencia de la firma autgrafa, que es biomtrica, y efectivamente prueba el acto personal de firma, la firma digital slo prueba que se utiliz la llave privada del sujeto y no necesariamente el acto personal de firma. #n consecuencia, no es posible establecer con total seguridad que el individuo firm un documento, sino que slo es posible demostrar que es el individuo es el responsable de que el documento se firmara con su llave privada. #n otras palabras, si un documento firmado corresponde con la llave p2blica de un sujeto, entonces el sujeto, aunque no lo *aya *ec*o, debe de reconocer el documento como autntico. ,or lo tanto, el sujeto debe cuidar de mantener su llave privada en total secreto y no revel!rsela a nadie, porque de *acerlo es responsable de su mal uso. 3n sujeto, en el proceso de autentificar un documento firmado debe conocer la llave p2blica del supuesto firmante. #l sujeto que autentifique documentos firmados por 4C individuos deber! contar con 4C arc*ivos o con una base de datos, que contenga las 4C llaves p2blicas de los posibles firmantes. Si este n2mero lo aumentamos a cien, mil o a un milln, el problema crece considerablemente.

3na solucin para el problema del manejo de las llaves es el conocido certificado digital.9 3n certificado digital es un documento firmado digitalmente por una persona o entidad denominada autoridad certificadora ' 0(. 1ic*o documento establece un vnculo entre un sujeto y su llave p2blica, es decir, el certificado digital es un documento firmado por una autoridad certificadora, que contiene el nombre del sujeto y su llave p2blica. La idea es que quienquiera que conozca la llave p2blica de la 0 puede autentificar un certificado digital de la misma forma que se autentifica cualquier otro documento firmado. Si el certificado es autntico y confiamos en la 0, entonces, puede confiarse en que el sujeto identificado en el certificado digital posee la llave p2blica que se se+ala en dic*o certificado. s pues, si un sujeto firma un documento y ane&a su certificado digital, cualquiera que conozca la llave p2blica de la 0 podr! autentificar el documento. RETT. GOOD RIVAC. 2 G 8 Los conceptos e&puestos anteriormente tienen su e&presin pr!ctica en el programa ,retty Dood ,rivacy ',rivacidad ;astante ;uena( creado por ,*ill Eimmermann, que es el est!ndar de facto utilizado para la encriptacin de correos electrnicos, discos duros, comunicaciones de voz y muc*as otras aplicaciones.8 ,D, #nterprise Security ofrece una infraestructura de cifrado y autentificacin capaz de mantener la seguridad de los datos del correo electrnico, de los arc*ivos, las carpetas y los vol2menes en el disco. Las aplicaciones )cliente) de ,D, incluyen interfaz f!cil de utilizar para mantener la seguridad de los datos, mientras que las aplicaciones )servidor) ,D, proporcionan la adaptabilidad necesaria para ampliaciones y el cumplimiento de las polticas de los sistemas.4F 0uando se implementa en entornos empresariales, ,D, #nterprise Security se convierte en una infraestructura completa de cifrado y autentificacin, adaptable a las ampliaciones y con facilidad de administrar. ,D, #nterprise Security es una solucin adaptable y compatible entre plataformas, que permite a los usuarios proteger la correspondencia electrnica, las transacciones en lnea y los arc*ivos de datos mediante su cifrado de forma que 2nicamente los destinatarios previstos puedan descifrar su contenido. 1ebido a que los productos ,D,, trabajan sobre complejos algoritmos criptogr!ficos y longitudes de clave especficas, se asegura una proteccin definitiva de los datos almacenados en las computadoras y que se transmiten por intranets e $nternet. ,ara una mayor seguridad, ,D, incorpora adem!s, un sistema de firma digital que verifica la propiedad e integridad de los documentos. ,D, se conoce internacionalmente como el sistema est!ndar para mantener la seguridad del correo electrnico y de los arc*ivos. ,D, no slo se adapta a un nivel superior para los entornos empresariales, sino que tambin se adapta a un nivel inferior para los individuos. #ste *ec*o es cada vez m!s importante, porque las compa+as intercambian sus datos crticos no slo internamente, sino tambin con consultores o socios en el e&terior.4F Su funcionamiento es muy sencillo, cada usuario tiene dos llaves% una p2blica y otra privada. La p2blica es la que distribuye a los dem!s y sirve para que ellos puedan enviarle un mensaje codificado que solo l mediante su llave privada podr! descifrar. @ambin ofrece la posibilidad de firmar un mensaje al colocar una parte de su llave

privada 'irreconocible claro( en una firma, que act2a como un certificado de autenticidad. 0uando el destinatario recibe el mensaje, el ,D, comprueba la firma y te&to y lo compara con la llave p2blica que tiene del remitente, y si algo en el te&to o la firma *a cambiado enva un mensaje de error donde informa que el mensaje no corresponde a la persona que dice que nos enva el mensaje. Sirve tambin para enviar fic*eros codificados en formato S0$$ por correo electrnico. #s muc*o mejor que otros sistemas como el 33#.0<1# porque antes de codificar el fic*ero, el ,D, realiza una compresin E$, del documento o programa que codificar!. ,D, puede descargarse gratuitamente en *ttp%GG""".pgpi.com y sus versiones m!s populares son la >.8 'para 6S71<S( y la actual 8.C.> 'para Hindo"s ?&(. @ambin e&isten versiones de ,D, para 6acintos*, 3ni&, Linu& y para casi cualquier sistema operativo actual que sea medianamente popular. 1esde el punto de vista del usuario, el ,D, es muy cmodo para gestionar las claves 'que es precisamente lo m!s difcil en los sistemas de clave p2blica(. Las claves se almacenan en dos arc*ivos% secring.s-r 'que guarda las claves privadas( y pubring.p-r 'que registra las claves p2blicas(. #stos arc*ivos son una especie de )llaveros), donde se colocan nuestras llaves privadas, p2blicas y las llaves p2blicas de los dem!s. <bviamente, si se pierde algunos de ellos, no se podr! desencriptar ni encriptar ning2n mensaje, por lo que es buena idea guardar una copia en un lugar seguro. @ambin ,D, guarda la )semilla) para generar nuestras claves aleatorias en el arc*ivo randseed.bin, el cual es otro arc*ivo importante que no puede quedar e&puesto al robo. Si randseed.bin se borra, ,D, crear! otro autom!ticamente a partir del reloj interno de la computadora, e igualmente es recomendable guardar una copia suya en alg2n lugar seguro. ,D, tiene adem!s, una funcin muy 2til llamada )armadura S0$$) que permite convertir los arc*ivos encriptados de cualquier tipo en fic*eros de te&to S0$$. s, por ejemplo, un arc*ivo binario, como sucede con un programa, puede encriptarse, convertirse en te&to S0$$ y enviarse como te&to simple por correo. LIMITACIONES DE LA CRI TOGRAF!A Los algoritmos criptogr!ficos tienden a degradarse con el tiempo. medida que transcurre el tiempo, los algoritmos de encripcin se *acen m!s f!ciles de quebrar debido al avance de la velocidad y potencia de los equipos de computacin. @odos los algoritmos criptogr!ficos son vulnerables a los ataques de fuerza bruta 7tratar sistem!ticamente con cada posible clave de encripcin, buscando colisiones para funciones *as*, factorizando grandes n2meros, etc.7 la fuerza bruta es m!s f!cil de aplicar en la medida que pasa el tiempo. #n 4?:: 6artin Dardner escribi que los n2meros de 4>? dgitos nunca seran factorizados, en 4??9 se factoriz uno de esos n2meros. dem!s de la fuerza bruta, avanzan las matem!ticas fundamentales que proveen nuevos mtodos y tcnicas de criptoan!lisis.8 CONCLUSIONES 4. 1ebido a las cambiantes condiciones y nuevas plataformas de computacin disponibles, es vital el desarrollo de documentos y directrices que orienten a los

usuarios en el uso adecuado de las tecnologas para aprovec*ar mejor sus ventajas. >. #l auge de la intercone&in entre redes abre nuevos *orizontes para la navegacin por $nternet y con ello, surgen nuevas amenazas para los sistemas computarizados, como son la prdida de confidencialidad y autenticidad de los documentos electrnicos. F. La 0riptografa es una disciplinaGtecnologa orientada a la solucin de los problemas relacionados con la autenticidad y la confidencialidad, y provee las *erramientas idneas para ello. 9. Los usuarios son quienes deben elegir la conveniencia de una u otra *erramienta para la proteccin de sus documentos electrnicos.