Confianza. Armando Carratalá

Transcripción

1 Confianza Armando Carratalá Los países de América Latina tienden a ser un poco laxos en el tema de seguridad. Esta realidad afecta la seguridad bajo la cual operan la empresa. Cuando se intenta organizar los problemas de seguridad de, por ejemplo, un consumidor frente a la perspectiva de una transacción electrónica con un comercio, los problemas relacionados se pueden resumir en cuatro: Generar información que proviene de una fuente que resulte confiable. El problema es que la información se recibe pero no se tiene certeza sobre su procedencia. No obstante, esta situación es posible de controlar con políticas de seguridad. Se puede producir una interrupción en el servicio. La información que se está enviando puede ser observada por alguien o un tercero podría incluirse en el mensaje. Alguien podría interceptar la comunicación y hacerse pasar por una de las partes. Estos problemas tienen solución pero siempre será una transacción insegura. Mecanismos como el firewall o el PKI ayudan pero no resuelven todos los problemas. Un firewall es una solución eficaz contra ataques que busquen la interrupción del servicio. El uso del SSL más un certificado digital hasta el full SET dan más seguridad pero no todos tienen un certificado digital. El PKI sí resuelve el problema pues existen dos certificados digitales, uno a cada lado. El PKI da autenticación al individuo no al sitio. Sin embargo, es necesario anotar que todos estos problemas no significan que el comercio se paralice pues siempre tendrá cierto grado de inseguridad. El estado actual de las transacciones electrónicas que involucran pagos pasan por el uso de un password. El migrar hacia un certificado digital es un problema de costos frente a las posibilidades que abre este cambio. Al final, los niveles de seguridad se resumen en un problema de inversión. La pregunta es por que invertir en seguridad si no tiene retorno. La ventaja del PKI es que al incrementar el nivel de seguridad permite realizar nuevas aplicaciones. Un tema pendiente está relacionado con el uso que las empresas dan a las bases de datos con información de las personas. El uso que las empresas den a estas bases de datos está directamente relacionado con el incremento de la confianza. Dejar la información librada a lo que dispongan los sitios no es lo más conveniente por lo que es necesario crear directivas sobre este tema. 227

2

3 PKI Generando confianza en las transacciones sobre Japan HiTrust Red Mundial de Confianza Armando Carratalá Technology Manager 2 Confianza? Qué interpretamos por confianza en una transacción Que es generada legítimamente? Que no será repudiada? Que fue generada por una persona confiable? Cómo identifico esa persona? Esquema General Usuarios Prestadores Back End Invididuo Cliente Prestador BackEn d System Certificados para transacciones Responsable Emisor: Medio de Pago Es suficiente la confianza? Operador Servicio Público Cert de Servidor Emisor: AC de Confianza Cert deindividuo Emisor:??? Exigencias en seguridad Alternativas El concepto de seguridad no es similar para todos Se requiere como mínimo: Confidencialidad/Privacidad Autenticación Integridad No repudio Interoperabilidad / Universalidad Generar una PKI con distintos alcances Clases de certificados PKI abiertas Certificados para comunidades cerradas Certificados dentro de transacciones predefinidas 229

4 st Qtr 2nd Qtr 3rd Qtr 4th Qtr East We st sage st Qtr 2nd Qtr 3rd Qtr 4th Qtr East We st sage Cómo lograr confianza? Participantes Técnicamente: incorporación de la clave raíz dentro de aplicaciones. Legalmente: esquemas de licenciamiento dentro de cada país. Públicamente: mostrando los procedimientos y generando auditorías de distintas empresas El Estado para las PKIs de Gobiernos Los Medios de Pago, para las transacciones comerciales personales Las empresas para transacciones privadas Los Bancos para transacciones entre instituciones Concepto de PKI Infraestructura integral PKI (Public Key Infrastructure) es una infraestructura en línea que utiliza mecanismos de encripción, certificados digitales, firmas digitales y otros servicios similares para garantizar la seguridad de aplicaciones, comunicaciones y transacciones. Routers y Firewalls Directorios sobre la Web Correo de negocios Authentication Infraestructura Confidentiality Clave Integrity Pública Non-repudiation (PKI) Routers & Firewalls Directorios PKI no es solamente software! Tecnología de PKI sobre la Web Correo 0 de negocio Compatibilidad con otras aplicaciones Infraestructura Operaciones PKI de Backbone seguras Clave Pública y confiables (PKI) Estructura legal (CPS) Authentication Confidentiality Integrity Non-repudiation Amplio alcance Esquema Funcional PKI de VeriSign Usuarios Prestadores Back End Individuos Sitios Web Empresas AUTENTICACION DE USUARIOS Autenticación Usuario Individuo AUTENTICACION DE SITIOS Protocolo B Servicio Público Protocolo A BackEn d System Personal IDs Individuos - Clase 1 Personal - Clase 2 VeriSign actúa como Autoridad Certificante Website IDs Secure Server IDs Global Server IDs VeriSign permite ser su propia Autoridad Certificante Solución para Empresas VeriSign OnSite (Client, Server, IP-Sec, SET) Transacciones Firmadas PKI Abierta / PKI Propia 230

5 SET Hierarchy Brand CA CH CA MC CA PG CA Pay Gate PKI de Gobierno VISA MasterCard CH CA MC CA CH CA MC CA HB CA Pyme CA Hbank User Pyme User Hbank User Pyme User Sub AC 2 AC Institución AC Prestadores AC Agentes Conclusiones Banco Arg HB CA Pyme CA Sub CA 1 AC Empresa 2 IDentrus Bank of America CA AC Empresa 1 HB CA Pyme CA Generar confianza es necesario para PKIs de comunidades abiertas El requisito necesario es generar una estructura legal a ser utilizada en las transacciones Hbank User Pyme User Gracias The Trust Company 231