Luis Villalta Márquez

Transcripción

1 Luis Villalta Márquez

2 Uno de los peligros de estas redes es la captación de paquetes en las conexiones mediante programas conocidos como "snifers", donde se puede extraer gran cantidad de información de las conexiones como contraseñas o conversaciones privadas entre otros datos. Para evitar este tipo de situaciones debemos usar un determinado tipo de claves, con técnicas de cifrado adecuados para evitar algunos tipos de ataques. También en algunos casos, debemos confirmar nuestra entidad.

3 - Criptografía simétrica. - Criptografía asimétrica. - Criptografía híbrida.

4 Una técnica de cifrado es una operación o función matemática utilizada en combinación con una clave que se aplica a un texto en claro que permitirá obtener un texto cifrado y viceversa, garantizando la confidencialidad e integridad de la información contenida. El cifrado normalmente se realiza mediante una clave de cifrado y el descifrado requiere una clave de descifrado. Las claves generalmente se dividen en:

5 La criptografía simétrica se refiere al conjunto de métodos que permiten tener comunicación segura entre las partes siempre y cuando anteriormente se hayan intercambiado la clave correspondiente que llamaremos clave simétrica. La simetría se refiere a que las partes tienen la misma llave tanto para cifrar como para descifrar. Este tipo de criptografía se conoce también como criptografía de clave privada o criptografía de llave privada. Existe una clasificación de este tipo de criptografía en tres familias, la criptografía simétrica de bloques (block cipher), la criptografía simétrica de lluvia (stream cipher) y la criptografía simétrica de resumen (hash functions). Aunque con ligeras modificaciones un sistema de criptografía simétrica de bloques puede modificarse para convertirse en alguna de las otras dos formas, sin embargo es importante verlas por separado dado que se usan en diferentes aplicaciones.

6 Aunque no existe un tipo de diseño estándar, quizá el más popular es el de Fiestel, que consiste esencialmente en aplicar un número finito de interacciones de cierta forma, que finalmente da como resultado el mensaje cifrado. Este es el caso del sistema criptográfico simétrico más conocido, DES.

7 La criptografía de clave asimétrica o pública fue inventada en 1976 por los matemáticos Whit Diffie y Martin Hellman y es la base de la moderna criptografía. La criptografía asimétrica utiliza dos claves complementarias llamadas clave privada y clave pública. Lo que está codificado con una clave privada necesita su correspondiente clave pública para ser descodificado. Y viceversa, lo codificado con una clave pública sólo puede ser descodificado con su clave privada. Las claves privadas deben ser conocidas únicamente por su propietario, mientras que la correspondiente clave pública puede ser dada a conocer abiertamente. Si Ana quiere enviar a Benito un mensaje de forma que sólo él pueda entenderlo, lo codificará con la clave pública de Benito. Benito utilizará su clave privada, que solo él tiene, para poder leerlo

8 La criptografía asimétrica está basada en la utilización de números primos muy grandes. Si multiplicamos entre sí dos números primos muy grandes, el resultado obtenido no puede descomponerse eficazmente, es decir, utilizando los métodos aritméticos más avanzados en los ordenadores más avanzados sería necesario utilizar durante miles de millones de años tantos ordenadores como átomos existen en el universo. El proceso será más seguro cuanto mayor sea el tamaño de los números primos utilizados.

9 Este tipo de criptografía utiliza el cifrado de clave pública para compartir una clave para el cifrado simétrico. El mensaje que se esté enviando en el momento, se cifra usando la clave y enviarlo así al destinatario. Esto es así puesto que compartir una clave simétrica no resulta seguro, la clave usada es diferente para cada sesión. Un sistema de cifrado híbrido no es más fuerte que el sistema de cifrado asimétrico o el de cifrado simétrico. En PGP, el sistema de clave pública es probablemente la parte más débil de la combinación. Sin embargo, si un atacante pudiera descifrar una clave de sesión, sólo sería útil para poder leer un mensaje, el cifrado con esa clave de sesión. El atacante tendría que volver a empezar y descifrar otra clave de sesión para poder leer cualquier otro mensaje.

10

11 - Firma Electrónica y Firma Digital. - Certificado Digital, Autoridad certificadora (CA). - Documento Nacional de Identidad Electrónico (DNIe) - Buenas prácticas en el uso del certificado digital y DNIe.

12 Una firma electrónica es una firma digital que se ha almacenado en un soporte de hardware; mientras que la firma digital se puede almacenar tanto en soportes de hardware como de software. La firma electrónica reconocida tiene el mismo valor legal que la firma manuscrita. De hecho se podría decir que una firma electrónica es una firma digital contenida o almacenada en un contenedor electrónico, normalmente un chip de ROM. Su principal característica diferenciadora con la firma digital es su cualidad de ser inmodificable (que no inviolable). No se debe confundir el almacenamiento en hardware, como por ejemplo, en un chip, con el almacenamiento de la firma digital en soportes físicos; es posible almacenar una firma digital en una memoria flash, pero al ser esta del tipo RAM y no ROM, no se consideraría una firma electrónica si no una firma digital contenida en un soporte físico.

13 La firma electrónica es un instrumento fundamental para la mejora de la seguridad y generación de la e-confianza dado que permite efectuar una comprobación de la identidad del autor y de la integridad del mensaje o del documento electrónico. Además la firma electrónica permite que un documento sea firmado por personas que no son coincidentes en el tiempo. Así, las tecnologías de la información junto con la firma electrónica simplifican la celebración de contratos y determinadas transacciones legales.

14 Se dice firma digital a un esquema matemático que sirve para demostrar la autenticidad de un mensaje digital o de un documento electrónico. Una firma digital da al destinatario seguridad en que el mensaje fue creado por el remitente, y que no fue alterado durante la transmisión. Las firmas digitales se utilizan comúnmente para la distribución de software, transacciones financieras y en otras áreas donde es importante detectar la falsificación y la manipulación. Consiste en un método criptográfico que asocia la identidad de una persona o de un equipo informático al mensaje o documento. En función del tipo de firma, puede, además, asegurar la integridad del documento o mensaje. La firma digital puede ser definida como una secuencia de datos electrónicos (bits) que se obtienen mediante la aplicación a un mensaje determinado de un algoritmo (fórmula matemática) de cifrado asimétricos o de clave pública, y que equivale funcionalmente a la firma autógrafa en orden a la identificación del autor del que procede el mensaje. Desde un punto de vista material, la firma digital es una simple cadena o secuencia de caracteres que se adjunta al final del cuerpo del mensaje firmado digitalmente.

15 La firma digital es como nuestra firma manuscrita. Sirve para firmar nuestros documentos, mensajes...: Permite acreditar nuestra Identidad. Una firma válida implica que se nos puede atribuir de forma indudable ese documento electrónico como autores de esa firma. Implica que no podemos negar en ningún caso que el documento ha sido firmado por nosotros. No podemos repudiarlo. La firma de un documento nos permite confirmar su Integridad. Si sufriese alguna modificación desde el momento de su firma hasta que se consulta de nuevo u otra persona lo recibe, la firma ya no será válida

16 Es el equivalente electrónico a un documento de identidad y que permite a su propietario: Firmar documentos y mensajes Cifrar mensajes En los certificados digitales existen dos procedimientos de especial interés: La renovación del certificado: es cuando el certificado expira o caduca. La revocación del certificado: supone cancelar la validez por causas ajenas a la fecha de expiración, principalmente porque la clave se vea comprometida. Los usos empresariales de los certificados son variados, tales como, firma de oferta y pedidos con clientes o proveedores, firma de documentación interna, facturación electrónica

17 Las autoridades de Certificación son los encargados de emitir estos certificados digitales. Tienen la responsabilidad de emitir los certificados digitales y verificar la responsabilidad de los mismos. Son un elemento imprescindible para la firma electrónica. Las principales Autoridades de Certificación en España son: CERES (Certificación Española), creada por la Fabrica Nacional de Moneda y Timbre ( FNMT) La Dirección General de la Policía, emisora de los certificados del DNI electrónico CAMERFIRMA, creada por las Cámaras de Comercio IZENPE, creada por el Gobierno vasco

18 El Documento Nacional de Identidad electrónico es el documento que acredita física y digitalmente la identidad personal de su titular y permite la firma electrónica de documentos. El nuevo DNI aporta seguridad, rapidez, comodidad y la inmediata realización de trámites administrativos y comerciales a través de medios telemáticos. La Dirección General de la Policía es el único organismo autorizado a emitir los certificados digitales para el DNI electrónico. Los procedimientos de solicitud, revocación, renovación y período de vigencia de los certificados están regulados en la Política de Certificación. Su apariencia es similar al DNI actual, al que se incorpora un chip electrónico, que contiene la información básica que permita acreditar electrónicamente la identidad de su titular y la firma de documentos electrónicos con plena validez legal.

19

20 Como medio de Autenticación de la Identidad. El Certificado de Autenticación (Digital Signature) asegura que la comunicación electrónica se realiza con la persona que dice que es. El titular podrá, a través de su certificado, acreditar su identidad frente a cualquiera, ya que se encuentra en posesión del certificado de identidad y de la clave privada asociada al mismo. Como medio de firma electrónica de documentos. Mediante la utilización del Certificado de Firma (nonrepudition), el receptor de un mensaje firmado electrónicamente puede verificar la autenticidad de esa firma, pudiendo de esta forma demostrar la identidad del firmante sin que éste pueda repudiarlo.

21 Pérdida o sustracción del documento En caso de pérdida o sustracción del DNI electrónico, el titular deberá comunicarlos a la Dirección General de la Policía o de la Guardia Civil, bien denunciándolo en cualquier Comisaría de Policía o Puesto de la Guardia Civil, bien solicitando un duplicado del mismo en el equipo de expedición Una vez en la Oficina de Expedición, en determinadas circunstancias deberá cumplimentar un impreso que le será entregado en la propia oficina y si el DNI extraviado o sustraído era del modelo anterior deberá aportar una fotografía más que junto a su firma y su impresión dactilar, servirá de comprobación de su identidad. Igualmente, se generarán nuevas claves y se expedirán nuevos certificados electrónicos.

22 Algunas recomendaciones sobre la clave personal de acceso (PIN) El PIN es una clave confidencial, personal e intransferible y es el parámetro que protege la clave privada de firma y permite activarlas en las aplicaciones que generan firma electrónica; por lo tanto, deben tenerse en cuenta unas normas de seguridad para su custodia y uso: Memorícelo y procure no anotarlo en ningún documento físico ni electrónico que el Titular conserve o transporte junto con la tarjeta del DNI electrónico, fundamentalmente si existe posibilidad de que se pierda o se robe al mismo tiempo que aquella. No envíe ni comunique su PIN a nadie ni por ningún medio, ya sea vía telefónica, correo electrónico, etc.

23 Recuerde que el PIN es personal e intransferible. Si cree que su PIN puede ser conocido por otra persona, debe cambiarlo. El hecho de que el PIN sea conocido por una persona distinta supone un riesgo importante, ya que permite la activación de las claves privadas para poder realizar operaciones de firma electrónica en su nombre. Es obligación del titular notificar la pérdida de control sobre su clave privada, a causa del compromiso del PIN, ya que es motivo de revocación del certificado asociado a dichas claves. Como consejo adicional, evite escoger un número relacionado con sus datos personales, así como cualquier otro código que pueda resultar fácilmente predecible por terceras personas (fecha de nacimiento, teléfono, series de números consecutivos, repeticiones de la misma cifra, secuencias de cifras que ya forman parte de su número de DNI electrónico, etc.) Se recomienda cambiarlo periódicamente.