Universidad Latinoamericana de Ciencia y Tecnología. Facultad de Ingeniería. Escuela de Ingeniería Informática

Transcripción

1 Universidad Latinoamericana de Ciencia y Tecnología Facultad de Ingeniería Escuela de Ingeniería Informática Trabajo Final para optar por el Grado de Licenciatura en Informática con Énfasis en Redes y Sistemas Telemáticos Tema Requerimientos de Red para migrar aplicaciones a plataforma Web, específicamente en equipos, dispositivos y ancho de banda para sistemas de alta producción transaccional Sustentante: Ing. Danny López Alfaro Cédula: Tutor: Lic. Miguel Pérez Montero III Cuatrimestre 2009 Nota obtenida: 89

2 TABLA DE CONTENIDO Requerimientos de Red para migrar aplicaciones a plataforma Web, específicamente en equipos, dispositivos y ancho de banda para sistemas de alta producción transaccional iii Resumen ejecutivo... iii Abstract... iii Frases descriptoras... iv Introducción... 1 Variedad en el mercado... 3 Partes de una aplicación Web y sus capas... 3 Capa de aplicaciones... 3 Capa de datos... 4 Capa de comunicaciones... 5 Capa de almacenamiento... 5 Posibles escenarios al migrar aplicaciones a Web... 5 Intranet... 6 Intranet y Extranet sin interacción con usuarios externos... 6 Intranet y Extranet en interacción con usuarios externos Seguridad en la Web Nombres de objetos y recursos asignados de manera segura Establecer conexiones seguras y autenticadas Código móvil ejecutable seguro Conclusiones Referencias bibliográficas TABLA DE FIGURAS Figura 1. Porcentaje de tráfico en bytes de cada protocolo respecto al total medido... 2 Figura 2. Arquitectura de una Intranet... 6 Figura 3. Firewall por software... 8 Figura 4. Firewall por hardware... 8 Figura 5. IPS (Sistema de Detección de Intrusos)... 9 Figura 6. Switch para Red Área Local (LAN) Figura 7. Router en una red Figura 8. Balanceo de carga Figura 9. Zona Desmilitarizada (DMZ) Figura 10. Arquitectura de una Intranet y Extranet sin interacción con usuarios externos Figura 11. Hiperconectividad Figura 12. Arquitectura de una Intranet y Extranet con interacción con usuarios externos ii

3 Requerimientos de Red para migrar aplicaciones a plataforma Web, específicamente en equipos, dispositivos y ancho de banda para sistemas de alta producción transaccional Ing. Danny López Alfaro 1 Resumen ejecutivo La era moderna obliga a la actualización en todos los campos de la tecnología, en este caso las aplicaciones no se quedan atrás. La hiperconectividad, la gran demanda de transacciones y la eficiencia en la producción requieren nuevas plataformas que permitan las labores y la conexión desde cualquier lugar y en cualquier momento. El presente artículo inicia con una breve introducción de la evolución de las telecomunicaciones, para luego presentar la gran variedad de aplicaciones existentes en el mercado. Posteriormente, se mencionan las partes que conforman una aplicación Web y las capas que la componen, además se presentan tres posibles escenarios que pueden darse en el momento de decidir la migración de una aplicación a plataforma Web, tomando en cuenta el hardware y software necesario en cada uno, así como un ejemplo de arquitectura y definiciones de términos que deben manejarse. Finalmente, se detalla sobre la seguridad en la Web, aspecto relevante a considerar desde antes de iniciar cualquier intento de migración a cualquier plataforma relacionada con Internet. Abstract The modern era requires us to update in all fields of the technology, in this case the applications are not far behind. Hyperconnectivity, the high demand for transactions and improve efficiency in production needs new platforms for the work and the connection from any location at any time. This article begins with a brief introduction of what has been the evolution of telecommunications, then presents the information sources used and the variety of existing applications on the market. Subsequently, to enter the field, mention the parts that make a Web application and its component layers, and then present three possible scenarios that can arise in deciding the migration of a Web application platform, taking into account the necessary hardware and software in each and an example of architecture and definitions of terms that must be handled. 1 Bachiller en Ingeniería Informática. Candidato a Licenciatura en Informática con énfasis en Redes y Sistemas Telemáticos, ULACIT. Correo electrónico: purrujo040673@yahoo.es iii

4 To finalize details on Web security, a relevant aspect to consider before starting any attempt to migrate to any platform connected to the Internet. Frases descriptoras Migración de aplicaciones a Web Seguridad Web Dispositivos Web Ancho de banda Alta producción transaccional Web iv

5 Introducción El siglo XX fue el boom de las telecomunicaciones en aspectos como la información distribuida, las redes comerciales, el procesamiento distribuido, las redes inalámbricas y satelitales y las aplicaciones Web, estas últimas serán objeto de la presente investigación. Específicamente consiste en conocer cómo migrar las aplicaciones comunes cliente-servidor a este tipo de aplicaciones que están tomando un sitio importante en la sociedad cibernética a nivel mundial por su bajo costo, fácil instalación, mantenimiento y actualización sin distribuir, facilidad de uso, entre otras ventajas que están haciendo que muchas empresas y personas se estén olvidando de las primeras. Ahora bien, qué es en realidad una aplicación Web? Es una aplicación informática distribuida cuya interfaz de usuario es accesible desde un cliente Web, normalmente un navegador Web (Departamento de Lenguajes y Sistemas Informáticos, 2004). Pero, qué ocurrió antes de llegar hasta este punto? Quizá un poco de historia puede ayudar a ubicar y contestar esta incógnita: : aparición de ARPANET (Advanced Research Projects Agency), conmutación de paquetes y conmutación de circuitos. 1983: TCP/IP, dirección IP de 32 bits. Nace el concepto de puerto TCP. 1992: el concepto de Web comienza a difundirse y aparecen los navegadores de la red con sus protocolos URL, HTML y HTTP. 1993: nace el navegador Mosaic en la Universidad de Illinois y hasta la fecha: el boom de Internet con sus lenguajes Web SGML, HTML, XML y XHTML. De los protocolos anteriores el más usado en la Web es el HTTP, un estudio realizado por la Universidad de Oberta Catalunya así lo demuestra. 1

6 Figura 1. Porcentaje de tráfico en bytes de cada protocolo respecto al total medido Imagen tomada de Toda esta información refuerza la importancia de las aplicaciones Web actualmente y el auge que están tomando, pero también vale la pena recordar que Internet es una red muy amplia, con millones y millones de usuarios en todo el mundo; esto lleva a plantear el problema que sustenta la realización de la presente investigación: determinar los requerimientos para la arquitectura de la red que sustentará la infraestructura de las aplicaciones Web, sobre todo en sistemas con un alto volumen transaccional que abarca unidades y departamentos a lo largo y ancho de toda Costa Rica. Estos necesitarían de un ancho de banda suficiente para satisfacer la demanda de procesos de todas esas unidades, con servidores Web, y de aplicaciones potentes que aseguren la continuidad del negocio. Muchas instituciones están pensando en la migración de aplicaciones cliente servidor a Web. Por esta razón, es importante la elaboración de este artículo, el cual orientará a tomar las decisiones adecuadas para que esta gestión sea exitosa y alcance los objetivos planteados; que no entorpezca la labor diaria, sea beneficiosa para los clientes, razón de ser principal de toda organización. 2

7 Variedad en el mercado En el mercado y en las diversas empresas e instituciones se pueden encontrar variedad de aplicaciones desarrolladas en distintos lenguajes de programación, las cuales pueden migrarse a plataforma Web, aprovechando las ventajas que se mencionaron anteriormente. Partes de una aplicación Web y sus capas Las aplicaciones Web se dividen en dos partes principales: el cliente, al cual le basta con tener instalado cualquier navegador de Internet (Internet Explorer, Mozilla) para tener acceso; y el servidor, donde se encuentran cuatro capas: aplicaciones, datos, comunicaciones y almacenamiento, éstos se describirán a continuación y a la vez se nombrarán algunos de los lenguajes de programación más comunes y los motores de bases de datos más usados y recomendados. Capa de aplicaciones Actualmente nos encontramos con una serie de aplicaciones que brindan servicios tanto a usuarios internos como externos en las organizaciones. Estas se ejecutan en diversos ambientes de software y de hardware, los cuales se integran mediante diversas tecnologías. Pueden encontrarse aplicaciones cliente/servidor desarrolladas en Oracle Developer, Microsoft.Net y VB6, y algunas aplicaciones anteriormente desarrolladas en Cobol, Fox, y otros lenguajes. Estas mismas pueden verse instaladas en los servidores de aplicaciones, de modo que se evita su instalación y distribución en los diferentes clientes, los cuales solo mediante un programa liviano visualizan la ejecución de las mismas dando la sensación de que se ejecutan en sus máquinas. Inclusive, mediante la inclusión de Gateways, es posible que usuarios externos puedan acceder a dichas aplicaciones. La tendencia en los últimos años ha sido el desarrollo Web, dadas las ventajas que este ambiente presenta, más alcance que cualquier otro tipo de arquitectura, utilización de un protocolo estándar como http (https), la no necesidad de distribuirse o instalarse en los clientes, entre otras. Estas aplicaciones Web han sido desarrolladas en diversas tecnologías como.net, que se ejecuta en servidores Intel y sistemas operativos Microsoft; también se pueden encontrar aplicaciones Java (j2ee) que se ejecutan en servidores de aplicaciones Java (Oracle y Bea), corriendo en diversos tipos de hardware (Spark, x86, x64, Itanium) y en variedad de sistemas operativos (Windows, Linux, Solaris, HP-UX); en menor medida se puede encontrar desarrollos en php. 3

8 Recientemente se ha optado por aplicar los conceptos de desarrollo en capas en las aplicaciones Web, separando la lógica del negocio, de la interfaz del usuario y del acceso a datos, por lo que se puede encontrar dentro de la capa de aplicaciones, tanto servidores de aplicaciones, como servidores de componentes que contienen gran parte de la lógica del negocio y el acceso a datos. Al ser aplicaciones desarrolladas en y con diferentes tecnologías, se ve la necesidad de integrarlas, para lo que se ha recurrido a mecanismos como los Web services, los cuales se basan en protocolos estándar (http, SOAP), además se han apoyado de otros protocolos como remoting, rmi y de desarrollos internos como sockets de conectividad que logran, mediante tramas de datos (mensajes), intercambiar información entre sistemas y bases de datos. Tanto Web services, componentes Java, componentes.net, procedimientos almacenados, sockets y cualquier otro tipo de tecnología utilizada, deben apoyar la idea de TI de consolidar una arquitectura orientada a servicios, de manera que las nuevas aplicaciones desarrolladas, así como requerimientos de entidades o usuarios externos puedan hacer uso de las diferentes funcionalidades expuestas (reutilización) y los mecanismos de integración, permitiendo satisfacer las necesidades de las organizaciones de manera ágil. Capa de datos Entre los principales motores de base de datos del mercado se encuentran: Microsoft SQL Server (MSSQL) y Oracle Database Server (ORACLE). En el caso de MSSQL, se ejecuta sobre servidores Intel y en el caso de Oracle sobre servidores Itanium, Alpha e Intel. Los datos son accedidos por diferentes clientes, como servidores de aplicaciones, aplicaciones cliente/servidor, sockets, Web services, y otros, desde diversas ubicaciones de la red. Estos sistemas de base de datos son los encargados de gestionar la información financiera, laboral, educativa y demás, relacionada con los diversos usuarios que acceden a Internet. Es de vital importancia mantener estos datos seguros pero accesibles y con una alta disponibilidad. Por tal motivo se deben implementar clústers de bases de datos, siendo así que varios nodos atiendan a los múltiples usuarios, permitiendo no solo balancear la carga entre servidores mejorando el tiempo de respuesta, sino que el servicio se mantenga arriba en caso de la caída de uno de los nodos. Estos motores de base de datos no solo acceden datos, sino que en muchos casos aún son los encargados de ejecutar mucha de la lógica del negocio. Generalmente los procesos diferidos más pesados se ejecutan, por lo que sus características son aún mayores que las de los servidores de aplicaciones, en cuanto a procesamiento y troughput (volumen de información). 4

9 Capa de comunicaciones La capa de aplicaciones se sustenta sobre hardware con características para el procesamiento empresarial de alta disponibilidad y un elevado troughput, y se ve rodeada de dispositivos de comunicaciones y de seguridad que garanticen un ambiente de ejecución adecuado. Las organizaciones deben rodearse de diversos dispositivos de seguridad y comunicaciones que permitan el correcto acceso, almacenamiento y distribución de datos. Capa de almacenamiento Dada la importancia de los datos que se deben manejar en los servidores de información, se recomienda hacer uso de una red de almacenamiento SAN (Storage Area Network) y mantener constantes backups (respaldos) a diferentes medios. Posibles escenarios al migrar aplicaciones a Web Cuando se piensa en la posibilidad de migrar una aplicación cliente servidor a plataforma Web hay que tomar en cuenta el escenario en el que funcionará el sistema. A partir de esta premisa se pueden identificar tres posibles escenarios en que puede desarrollarse la migración: a) Intranet: la aplicación sigue funcionando a nivel interno de la organización y se migran sólo los ejecutables y las pantallas. b) Intranet y Extranet sin interacción con usuarios externos: la aplicación tiene la posibilidad de ser accesada interna y externamente por usuarios de la organización; se requiere mejorar aspectos de seguridad de la red, ancho de banda, estabilidad del sistema, entre otros. c) Intranet y Extranet en interacción con usuarios externos: la aplicación puede accesarse por usuarios de la organización interna y externa; además, los clientes pueden interactuar con la aplicación en algunos puntos de su interés, por ejemplo: un cliente de una farmacia de la Caja Costarricense de Seguro Social le interesaría saber cuáles son los efectos secundarios del medicamento que toma. En este tipo de escenario los requerimientos de seguridad de la red, ancho de banda y estabilidad del sistema son puntos prioritarios por tomar en cuenta. En las próximas secciones de este artículo se desarrollan con más detalle cada uno de estos escenarios, profundizando en sus requerimientos y proponiendo posibles arquitecturas de red, equipos y dispositivos que pueden utilizarse para garantizar la continuidad y seguridad de cada uno de ellos. 5

10 Intranet Es considerada una red interna organizacional que permite a todos los miembros de la empresa tener autorización, utilizar recursos compartidos tales como archivos de datos, impresoras, bases de datos, acceso a Internet, entre otros. Dada la importancia que reviste la migración de aplicaciones a plataforma Web, se clasifica como uno de los escenarios más sencillos para realizar este proceso, ya que no conlleva mayores modificaciones en la infraestructura y arquitectura de la red que se ha venido utilizando. Entre los requerimientos nuevos a considerar están: un servidor de aplicaciones donde se almacenan los ejecutables y las pantallas utilizadas por los sistemas Web, un Servidor Web para administrar los accesos a Internet y aumentar el ancho de banda a 100/1000 Mbps en caso de implementar voz y video en servicios como video conferencia, teletrabajo y/o telemedicina, en caso contrario con 10/100 Mbps es suficiente. Figura 2. Arquitectura de una Intranet Imagen tomada de La imagen anterior muestra claramente el funcionamiento de una Intranet, que a diferencia de una Extranet, las aplicaciones sólo pueden accesarse desde lo interno de la organización y, como se dijo en párrafos anteriores las aplicaciones con sus pantallas y ejecutables están centralizados en un servidor Web o de aplicaciones, por lo que cualquier nuevo usuario que se agregue a la red automáticamente puede conectarse y utilizarlas. Intranet y Extranet sin interacción con usuarios externos Se define como el escenario donde los usuarios siguen siendo solamente internos de la organización pero se extiende el uso de las aplicaciones al hogar u otra región donde se encuentre el funcionario mediante el uso de Internet como herramienta principal. De igual manera el usuario tiene acceso a todos 6

11 los recursos compartidos de la red, sólo que el nivel de seguridad de la misma debe ser alto para evitar accesos no autorizados que pongan en riesgo la integridad, confidencialidad y oportunidad de la información. El teletrabajo y la telemedicina son ejemplos importantes de este tipo de arquitectura. En los últimos años éstos han tomado un impulso importante en la sociedad mundial como alternativas novedosas de tecnología para colaborar en el ahorro de combustible y el acceso a los servicios por parte de los usuarios. Esta implementación representa requerimientos adicionales a los descritos en el caso anterior. Considerando que un ancho de banda de 10/100 Mbps ya no es suficiente, es necesario la utilización de 100/1000 Mbps o superior. Se utiliza un servidor Web o de aplicaciones, las velocidades de transmisión en Internet deben ser de 1Gb o superior para garantizar tasas de latencia y retardo mínimas; además, surgen otras tecnologías, términos y dispositivos que se deben tomar en cuenta como el uso de firewalls, ISP s, switches, routers, balanceo de cargas y DMZ s con el fin de reforzar, como se mencionó anteriormente, el aspecto de la seguridad informática debido a las amenazas y los ciberdelincuentes que continúan en aumento. Como complemento a todo lo anterior se pueden mencionar los tres pasos hacia la Web de Tirado (2008) definidos por el director comercial de Grupo CESA: 1. Tener claro cuáles son las iniciativas del negocio y el resultado o fin que se persigue. 2. Diseñar una plataforma flexible y escalable. 3. Seleccionar una herramienta abierta, multiplataforma y de última generación. Esto le da la flexibilidad necesaria para poder realizar cambios en poco tiempo (p. 47). Seguidamente se definen los términos mencionados como novedad para este escenario y posteriormente se ejemplifica la arquitectura utilizada. Firewall Este es un sistema de seguridad instalado entre una red privada y una o más redes externas, como por ejemplo Internet, con el propósito de establecer políticas de seguridad que garanticen la integridad y confidencialidad de la información, aplicaciones y hardware contra los ciberdelincuentes. Se pueden usar por software, hardware o una combinación de ambos. En el caso de software se refiere a una aplicación instalada en un equipo, generalmente en el módem que da el acceso a Internet; mientras que el hardware se instala en un equipo que se ubica entre el router y la conexión telefónica. 7

12 Figura 3. Firewall por software Imagen tomada de stemas/teleproceso/apuntes_1/graficos/firewall1.gif Figura 4. Firewall por hardware Imagen tomada de IPS Sistema implementado en un equipo especial inmerso en la red para prevenir y protegerse de intrusiones no deseadas en la organización que pueden atentar contra la privacidad, integridad y confidencialidad de la información contenida en bases de datos, archivos y respaldos. Anteriormente se utilizaba el IDS (Sistema de Detección de Intrusiones) el cual tenía la debilidad de que solamente detectaba las amenazas pero no realizaba ninguna acción para solucionar la situación de riesgo. El IPS, por el contrario, toma medidas de manera inmediata para impedir el acceso no autorizado a la red de manera proactiva y no reactiva, como el IDS. 8

13 Figura 5. IPS (Sistema de Detección de Intrusos) Imagen tomada de Switch Es un dispositivo utilizado en las redes de área local (LAN) para interconectar varios segmentos de red como si fueran una sola. Es más eficiente que su antecesor, el HUB, porque mantiene almacenados direcciones de los equipos conectados a él. Cuando se envía un paquete va directamente desde el emisor hasta el receptor, evitando colisiones y saturación de la red. Según Victoria (2009) existen diferentes tipos de switch, como son: El store-and-forward, que guarda los paquetes de datos en un buffer antes de enviarlo al puerto de salida. Si bien asegura el envío de datos sin error y aumenta la confianza de red, este tipo de switch requiere de más tiempo por paquete de datos. El cut-through busca reducir la demora del modelo anterior, ya que lee sólo los primeros 6 bytes de datos y luego lo encamina al puerto de salida. Otro tipo es el adaptative cut-through, que soporta operaciones de los dos modelos anteriores. El layer 2 switches, por citar otro ejemplo, es el caso más tradicional que trabaja como puente multipuertos. El layer 3 switches incorpora funcionalidades de router y más recientemente ingresó al mercado el layer 4 switches. 9

14 Figura 6. Switch para Red Área Local (LAN) Imagen tomada de Router Es un dispositivo (hardware o software) inmerso en la red encargado de interconectar varias redes, subredes o una red completa. Permite el transporte seguro de paquetes de datos entre un origen y un destino, con la certeza de que la información llegará. El router tiene la ventaja de que es capaz de escoger la ruta más corta o la menos congestionada para transportar los datos, basado en parámetros, algoritmos matemáticos, tablas de información de las IPs y cantidad de saltos entre los nodos, entre otros. Figura 7. Router en una red Imagen tomada de router%20and%20internet%20connection.jpg Balanceo de cargas Es un procedimiento informático que puede realizarse por medio de un router, switch o un equipo de cómputo y consiste en la distribución de las tareas y el tráfico de la red entre dispositivos organizados en clusters o grupos con una 10

15 misma función, con el propósito de evitar el congestionamiento de los enlaces y la red, garantizando alta disponibilidad y continuidad del negocio. Figura 8. Balanceo de carga Imagen tomada de DMZ Demilitarized Zone por sus siglas en inglés (también llamada zona perimetral), consiste en una red local inmersa en la LAN, comúnmente ubicada entre la red interna y la red externa (Internet) con el propósito de restringir el acceso a la información, aplicaciones, bases de datos o servidores que son confidenciales para la organización, esto debido a que los usuarios de la red externa que tienen acceso a la DMZ no pueden penetrar a la red interna. Una buena práctica para esta zona es ubicar dos firewalls, el primero entre la red externa y la DMZ y el segundo entre la DMZ y la red interna. 11

16 Es muy normal observar en esta zona los servidores Web, y DNS, así como también cualquier otro hardware, software o información que no represente ningún riesgo para la seguridad informática de la empresa u organización. Figura 9. Zona Desmilitarizada (DMZ) Imagen tomada de Figura 10. Arquitectura de una Intranet y Extranet sin interacción con usuarios externos Imagen tomada de 12

17 Intranet y Extranet en interacción con usuarios externos Es un escenario muy similar al anterior por todos los dispositivos de hardware y software que deben agregarse a la red para soportar la migración de las aplicaciones a plataforma Web y reforzar los aspectos de seguridad informática de la organización. Existe un aspecto que debe ser considerado, éste es el ancho de banda. La velocidad 10/100 Mbps no es suficiente, ya que en este momento las exigencias son mayores y es imperativo el uso de 100/1000 Mbps o superior para cubrir las necesidades de conexión, tanto internas como externas, de empleados y usuarios de la empresa. Lo anterior se debe a que actualmente los usuarios quieren estar conectados en todo momento y lugar, con todos sus dispositivos: PDA, celulares, laptops. De acuerdo a Cintia Perazo (2008): Pronósticos de ejecutivos de la empresa Nortel de Canadá revelan que, para el año 2010, cada persona tendrá diez dispositivos conectados a Internet. Algunos llaman a este fenómeno hiperconectividad, otros lo denominan múltiples accesos. Lo cierto es que, en muy poco tiempo, los dispositivos conectados no solo serán computadoras personales, PDA y teléfonos celulares, sino todo tipo de equipos electrónicos tanto en las casas como en las oficinas. Debido a que los múltiples accesos serán el futuro, las organizaciones autónomas, semiautónomas, estatales y privadas deben seguir invirtiendo en la tecnología IP y trabajando hacia la convergencia si quieren contar con una herramienta de soporte eficiente. Figura 11. Hiperconectividad Imagen tomada de AAAAAAAAAFg/tkPbaEx76Qc/s400/Hiperconectividad.jpg 13

18 Figura 12. Arquitectura de una Intranet y Extranet con interacción con usuarios externos Imagen tomada de AAAAAAAAAII/Dww-eyCcjqc/s320/RED-DE-AREA-LOCAL-AN.png Hasta este momento se han analizado escenarios posibles en que interactúa una aplicación Web, incluyendo arquitecturas, dispositivos hardware, software y términos relacionados con estas tecnologías, necesarios para una migración de cliente servidor a plataforma Web, pero qué sucede con la seguridad en la Web? En la próxima sección se explicará este tema tan importante como la misma existencia de la red y las aplicaciones que sobre ella existen. Seguridad en la Web Sin duda, este es uno de los factores principales por tomar en cuenta a la hora de pensar en la posibilidad de una migración de las aplicaciones a plataforma Web, ya que es lugar predilecto de los delincuentes cibernéticos para realizar sus delitos tecnológicos. Algunas de las amenazas que se pueden identificar son los hackers, quienes ingresan sin permiso a las computadoras de la red con el fin de molestar sin hacer mucho daño (también son llamados grandes programadores). Los crackers también irrumpen sin permiso a las computadoras de una red con fines maliciosos y destructivos, con ataques como el llamado negación de servicio, que inunda el sitio con tráfico no deseado y continuo hasta que satura el servidor y saca la página de circulación. Se puede dividir la seguridad en Web en tres partes: 1. Los nombres de objetos y recursos asignados de manera segura. 14

19 2. Establecimiento de conexiones seguras y autenticadas 3. Código móvil ejecutable y seguro Nombres de objetos y recursos asignados de manera segura El hacker o cracker se aprovecha de las debilidades en esta tarea para intervenir la red dorsal de fibra o la línea telefónica haciéndose pasar por uno de los integrantes de la conversación y así obtener información valiosa de la organización o de los usuarios involucrados. Todo este ataque es realizado mediante la falsificación del DNS o Servidor de Nombres de Dominio y de esta manera el delincuente no es detectado a tiempo. Lo anterior podría evitarse haciendo que el DNS utilice ID s aleatorios en cada consulta, pero mientras un defecto es mitigado, otro se descubre, por lo que el peligro siempre es inminente. Establecer conexiones seguras y autenticadas Se implementa gracias a la utilización de un paquete de seguridad llamado SSL (Capa de Sockets Seguros), el cual construye una conexión segura entre dos usuarios que incluye: 1. Negociación de parámetros entre el cliente y el servidor. 2. Autenticación tanto del cliente como del servidor. 3. Comunicación secreta. 4. Protección de la integridad de los datos. Es una nueva capa ubicada entre la de aplicación y la de transporte que recibe solicitudes del navegador y las envía al TCP que las transmite al servidor. Por ejemplo cuando HTTP (protocolo de comunicación de Internet) se utiliza sobre SSL se conoce como HTTPS (HTTP Seguro). La ventaja de SSL es que utiliza la presencia o ausencia de compresión de los datos enviados, algoritmos criptográficos y asuntos relacionados con la exportación de restricciones en la criptografía; esta última asegura que se utilice criptografía sólo cuando ambos usuarios (emisor y receptor) se encuentren ubicados en un mismo país o zona geográfica. El SSL está formado por dos subprotocolos, el primero establece una conexión segura y el otro utiliza dicha conexión. 15

20 Código móvil ejecutable seguro Consiste en el riesgo de descargar y ejecutar el código móvil que va incluido en las páginas Web actuales y que puede ser interceptado por los ciberdelincuentes. Entre los códigos móviles existentes y los métodos utilizados para tratar los problemas derivados por ellos están: 1. Seguridad de subprogramas de Java: pequeños programas Java compilados en un lenguaje llamado JVM (Máquina Virtual de Java) que vienen juntamente con la página para descargarlos ambos al mismo tiempo; la ventaja es que cada instrucción es examinada por el intérprete antes de ser ejecutada, lo que da la oportunidad de verificar si la dirección de la instrucción es válida. 2. Active X: son programas incrustados en las páginas Web. Cuando se localiza alguno de ellos se verifica si se debe ejecutar o no, he ahí su verdadera seguridad. Está basado en una firma de código (firma digital o hash del código) del creador del Active X, utilizando encriptación de clave pública, lo cual hace que el navegador verifique la firma para comprobar que no ha sido alterada en el camino desde el emisor hasta el receptor. 3. JavaScript: no tiene modelo de seguridad definido por lo que es totalmente defectuoso en este aspecto aunque permita gráficos vistosos e interacción rápida. 4. Virus: es una forma de código móvil no invitado por nadie a su máquina. Se reproducen por sí mismos, infectan los programas ejecutables del disco para que, cuando se ejecuten, tomar ellos el control del equipo; otros se alojan en el sector de arranque para que, cuando la máquina inicia, se ejecute el virus. Actualmente es un problema prácticamente sin solución y que ha causado la pérdida de muchos millones de dólares. Finalmente es importante agregar que existe gran variedad de equipos y dispositivos de red cuyas características deben ser analizadas para decidirse por aquellas que más funcionen a la organización, de acuerdo con su volumen de trabajo, transacciones, oportunidades de crecimiento, objetivos a futuro, entre otros parámetros. Además, es imprescindible tomar en cuenta los aspectos de seguridad de la red y la Web, haciendo conciencia que es la información, finanzas y el futuro de la empresa lo que está en juego y que en caso de daños costará recuperarlas de la noche a la mañana. 16