UNIVERSIDAD GRAN MARISCAL DE AYACUCHO FACULTAD DE INGENIERÍA ESCUELA DE INGENIERÍA EN INFORMÁTICA NÚCLEO BOLÍVAR CIUDAD BOLÍVAR EDO. BOLÍVAR.

Transcripción

1 UNIVERSIDAD GRAN MARISCAL DE AYACUCHO FACULTAD DE INGENIERÍA ESCUELA DE INGENIERÍA EN INFORMÁTICA NÚCLEO BOLÍVAR CIUDAD BOLÍVAR EDO. BOLÍVAR. Transacciones Facilitador: Prof. Juan Molina Alumno: Kern Rodríguez C.I.: Ciudad Bolívar, Marzo de 2013.

2 INTRODUCCIÓN Con el inicio del siglo XXI, el uso del internet se incrementó en valores exponenciales con respecto al siglo pasado, las personas actualmente pueden realizar transacciones bancarias, enviar y recibir correos electrónicos desde sus hogares, sus dispositivos telefónicos móviles o inclusive sitios públicos. En Venezuela las empresas se han abierto a esta tendencia, utilizando internet como herramienta para comercializar sus productos, realizar negocios y principalmente como medio de comunicación, gracias a los proveedores de servicios de internet (ISP) locales, que se han esforzado por hacer esta promesa realidad.

3 SSL El protocolo SSL fue desarrollado originalmente por Netscape.2 La versión 1.0 nunca se entregó públicamente; la versión 2.0 se presentó en febrero de 1995 pero "contenía una cantidad de fallas de seguridad que al final llevaron al diseño de la versión SSL 3.0".3 Dicha versión, presentada en 1996, fue un rediseño completo del protocolo producido por Paul Kocher, quien trabajó con los ingenieros de Netscape Phil Karlton y Alan Freier. Las versiones más nuevas de SSL/TLS están basadas en SSL 3.0 El protocolo SSL intercambia registros; opcionalmente, cada registro puede ser comprimido, cifrado y empaquetado con un código de autenticación del mensaje (MAC). Cada registro tiene un campo de content_type que especifica el protocolo de nivel superior que se está usando. Cuando se inicia la conexión, el nivel de registro encapsula otro protocolo, el protocolo handshake (o protocolo de acuerdo), que tiene el content_type 22. El cliente envía y recibe varias estructuras handshake: Envía un mensaje ClientHello especificando una lista de conjunto de cifrados, métodos de compresión y la versión del protocolo SSL más alta permitida. Éste también envía bytes aleatorios que serán usados más tarde (llamados Challenge de Cliente o Reto). Además puede incluir el identificador de la sesión. Después, recibe un registro ServerHello, en el que el servidor elige los parámetros de conexión a partir de las opciones ofertadas con anterioridad por el cliente. Cuando los parámetros de la conexión son conocidos, cliente y servidor intercambian certificados (dependiendo de las claves públicas de cifrado seleccionadas). Estos certificados son actualmente X.509, pero hay también un borrador especificando el uso de certificados basados en OpenPGP.12 Cliente y servidor negocian una clave secreta (simétrica) común llamada master secret, posiblemente usando el resultado de un intercambio Diffie-Hellman, o simplemente cifrando una clave secreta con una clave pública que es descifrada con la clave privada de cada uno. Todos los datos de claves restantes son derivados a partir de este master secret (y los valores aleatorios generados en el cliente y el servidor), que son pasados a través una función pseudoaleatoria cuidadosamente elegida.

4 TRANSACCIONES SEGURAS?: NO ACERCA DEL SSL La mayoría de las "teóricas" transacciones seguras de comercio electrónico en Internet se realizan mediante SSL: el famoso candadito amarillo que podemos ver en ciertas páginas en nuestro navegador. Está basado en el clásico cifrado de clave pública que puede parecen "intimidatorio" para un hacker novato. Recordemos que SSL es una especificación de seguridad y, como tal, se encuentra sujeta a interpretaciones por aquellos que desarrollan productos de software. Si se cometen errores, la seguridad de la especificación queda reducida a cero. Más adelante veremos un ejemplo de un defecto de implementación. Actualmente el protocolo de cifrado más potente disponible es de 128 bits y está implementado en todas las versiones de los actuales navegadores. Hasta hace unos años esto no era posible debido a que las leyes de exportación de los EEUU consideraban a las claves de cifrado mayores de 40 bits, como "material de guerra". Veamos el tema anterior, con respecto a la violación de un certificado SSL de un sitio web legítimo. En teoría, esta violación sería invalidada gracias a una verificación cruzada de la identidad del certificado con el nombre DNS y dirección IP del servidor que se encuentra al otro extremo de la conexión. Esta es la teoría de la especificación SSL. Sin embargo, el ACROSS Security Team de Eslovenia descubrió, por ejemplo, un defecto en la implementación en las antiguas versiones de Netscape anteriores a la 4.73: en estas versiones, cuando se establece una sesión SSL el navegador sólo comparaba la dirección IP y no el nombre DNS de un certificado contra las sesiones SSL existentes. Por tanto, engañando al explorador para que abra una sesión SSL en un servidor web malintencionado que se haga pasar por otro servidor legítimo, todas las sesiones SSL posteriores que se establezcan con el servidor web legítimo terminarían finalmente en el servidor malintencionado sin que el usuario recibiera ninguno de los mensajes de aviso normales. Merece la pena entender las implicaciones relacionadas con esta "primera" vulnerabilidad descubierta a la implementación del protocolo SSL. Demasiada gente cree que una vez que el icono del candado SSL aparece en su explorador los problemas de seguridad ya han desaparecido. ACROSS demostró que esto nunca podrá ser así mientras el ser humando intervenga en el desarrollo del software. Una vulnerabilidad similar fue descubierta en el IE, salvo que el problema del Internet Explorer era que sólo realizaba la comprobación de si el certificado había sido emitido por una autoridad de certificación válida sin molestarse también en verificar el nombre del servidor y la fecha de caducidad.

5 Estas verificaciones sólo se llevan a cabo cuando la conexión SSL realizada con el servidor SSL se efectúa a través de un marco o de una imagen, lo cual es una forma bastante poco eficaz de configurar sesiones SSL nada inteligentes que los usuarios pueden no advertir. IE también fracasaba a la hora de volver a validar el certificado si se establecía una nueva sesión SSL con el mismo servidor durante la misma sesión IE. La única alternativa que nos queda es tener siempre al día las últimas versiones del navegador. Los fabricantes, de acuerdo con la industria del comercio electrónico, priman sobre todo la resolución de posibles problemas de seguridad debido a la implementación del estándar SSL. VPN Es una tecnología de red que permite una extensión segura de la red local sobre una red pública o no controlada como Internet. Permite que la computadora en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada con toda la funcionalidad, seguridad y políticas de gestión de una red privada.1 Esto se realiza estableciendo un conexión virtual punto a punto mediante el uso de conexiones dedicadas, encriptación o la combinación de ambos métodos. Ejemplos comunes son la posibilidad de conectar dos o más sucursales de una empresa utilizando como vínculo Internet, permitir a los miembros del equipo de soporte técnico la conexión desde su casa al centro de cómputo, o que un usuario pueda acceder a su equipo doméstico desde un sitio remoto, como por ejemplo un hotel. Todo ello utilizando la infraestructura de Internet. Tipos de VPN Básicamente existen tres arquitecturas de conexión VPN: VPN de acceso remoto Es quizás el modelo más usado actualmente, y consiste en usuarios o proveedores que se conectan con la empresa desde sitios remotos (oficinas comerciales, domicilios, hoteles,

6 aviones preparados, etcétera) utilizando Internet como vínculo de acceso. Una vez autenticados tienen un nivel de acceso muy similar al que tienen en la red local de la empresa. Muchas empresas han reemplazado con esta tecnología su infraestructura dialup (módems y líneas telefónicas). VPN punto a punto Este esquema se utiliza para conectar oficinas remotas con la sede central de la organización. El servidor VPN, que posee un vínculo permanente a Internet, acepta las conexiones vía Internet provenientes de los sitios y establece el túnel VPN. Los servidores de las sucursales se conectan a Internet utilizando los servicios de su proveedor local de Internet, típicamente mediante conexiones de banda ancha. Esto permite eliminar los costosos vínculos punto a punto tradicionales (realizados comúnmente mediante conexiones de cable físicas entre los nodos), sobre todo en las comunicaciones internacionales. Es más común el siguiente punto, también llamado tecnología de túnel o tunneling. Tunneling La técnica de tunneling consiste en encapsular un protocolo de red sobre otro (protocolo de red encapsulador) creando un túnel dentro de una red de computadoras. El establecimiento de dicho túnel se implementa incluyendo una PDU (unidades de datos de protocolo) determinada dentro de otra PDU con el objetivo de transmitirla desde un extremo al otro del túnel sin que sea necesaria una interpretación intermedia de la PDU encapsulada. De esta manera se encaminan los paquetes de datos sobre nodos intermedios que son incapaces de ver en claro el contenido de dichos paquetes. El túnel queda definido por los puntos extremos y el protocolo de comunicación empleado, que entre otros, podría ser SSH. El uso de esta técnica persigue diferentes objetivos, dependiendo del problema que se esté tratando, como por ejemplo la comunicación de islas en escenarios multicast, la redirección de tráfico, etc. Uno de los ejemplos más claros de utilización de esta técnica consiste en la redirección de tráfico en escenarios IP Móvil. En escenarios de IP móvil, cuando un nodo-móvil no se encuentra en su red base, necesita que su home-agent realice ciertas funciones en su puesto, entre las que se encuentra la de capturar el tráfico dirigido al nodo-móvil y redirigirlo hacia él. Esa redirección del tráfico se realiza usando un mecanismo de tunneling, ya que es necesario que los paquetes conserven su estructura y contenido originales (dirección IP de origen y destino, puertos, etc.) cuando sean recibidos por el nodo-móvil.

7 VPN over LAN Este esquema es el menos difundido pero uno de los más poderosos para utilizar dentro de la empresa. Es una variante del tipo "acceso remoto" pero, en vez de utilizar Internet como medio de conexión, emplea la misma red de área local (LAN) de la empresa. Sirve para aislar zonas y servicios de la red interna. Esta capacidad lo hace muy conveniente para mejorar las prestaciones de seguridad de las redes inalámbricas (WiFi). Un ejemplo clásico es un servidor con información sensible, como las nóminas de sueldos, ubicado detrás de un equipo VPN, el cual provee autenticación adicional más el agregado del cifrado, haciendo posible que sólo el personal de recursos humanos habilitado pueda acceder a la información. Otro ejemplo es la conexión a redes Wi-Fi haciendo uso de túneles cifrados IPSec o SSL que además de pasar por los métodos de autenticación tradicionales (WEP, WPA, direcciones MAC, etc.) agregan las credenciales de seguridad del túnel VPN creado en la LAN interna o externa. PKI Una infraestructura de clave pública o PKI ofrece un conjunto de servicios que reducen de forma drástica los riesgos de seguridad asociados a los procesos de negocio. Los servicios que ofrece una PKI son los siguientes: La autenticación electrónica garantiza de forma unívoca la identidad y los atributos de una entidad ( quién es y qué es?). Si bien la identidad nos aporta un nombre de una persona o una máquina, los atributos nos aportan la información acerca de su capacidad para ejercer como profesional cualificado, el límite de crédito, la fecha de nacimiento, etc. La integridad de datos es el servicio que permite la detección de cualquier cambio que se hubiese realizado de forma accidental o intencionada mientras los datos permanecen almacenados o son transmitidos por redes telemáticas. Los servicios de autenticación e integridad son la base para la firma electrónica, pudiéndola equiparar con la manuscrita, y por tanto eliminando la necesidad del papel. El servicio de confidencialidad permite la protección de los datos electrónicos (archivos y comunicaciones), permitiendo controlar el acceso a éstos mediante la aplicación de mecanismos de autenticación basados en PKI.

8 La infraestructura PKI La responsabilidad de la infraestructura de clave pública (PKI) es la de ofrecer los servicios necesarios para poder establecer relaciones electrónicas confiables. Para esto, las terceras partes de confianza (TTPs) serán las responsables de garantizar la relación unívoca de las entidades con los datos socioeconómicos que éstas acrediten, de relacionar de forma unívoca una fecha concreta con unos datos concretos o, de confirmar de forma probatoria que dichas relaciones establecidas siguen siendo válidas a lo largo del tiempo. Las entidades de confianza, se clasifican en tres grupos en función del tipo de responsabilidad adquirida: Las entidades responsables de la emisión y la gestión de los certificados digitales, conocidas como Autoridades de Certificación; las entidades responsables de asegurar la validez de un certificado digital, conocidas como Autoridades de Validación; y finalmente, las entidades responsables de asegurar la fecha de la existencia de unos datos concretos, conocidas con Autoridades de Sellado de Tiempo. Autoridad de Certificación: En una PKI, las responsabilidades de la emisión de certificados se comparten entre la Autoridad de Certificación (CA) y entre la entidad responsable de solicitar la generación de los certificados o Autoridad de Registro (RA). La RA es la entidad a la que la CA delega las tareas de recepción de las solicitudes de certificación y decisión de aprobación o denegación. La RA también podrá solicitar una revocación de certificado ya emitido previamente por la CA. La CA se dedica exclusivamente a la generación de los certificados y las listas de revocación, las cuales contienen los certificados revocados. Mientras que el componente RA interacciona con las entidades solicitantes de certificados (ejemplo: personas) y con el sistema de toma de decisiones de la empresa para la obtención de datos o atributos del solicitante, el componente CA se encarga exclusivamente de procesar las solicitudes aprobadas para generar los certificados correspondientes. Los certificados digitales se publicarán en la mayoría de las situaciones en un directorio, cuya responsabilidad puede recaer tanto en la CA como en la RA. Autoridad de Validación: Los servicios de validación del estado de los certificados digitales son estratégicos en aquellos procesos de negocio donde se requieran garantías de que se ha verificado el estado de un certificado digital en el proceso de aceptación de datos firmados digitalmente (por ejemplo, órdenes de transacción electrónicas). Será la Autoridad de Validación (VA) quien suministrará la prueba de la vigencia (certificado revocado o no revocado) de un determinado certificado digital en un instante determinado, responsabilizándose de dichas respuestas. El valor probatorio es, pues, el beneficio más importante frente a las tradicionales CRLs generadas por la CA, cuyo diseño

9 no contempla dicho beneficio; pero también es importante el incremento de eficiencia que ofrece este sistema frente al anterior. Autoridad de Sellado de Tiempo: La Autoridad de Sellado de Tiempo (TSA) garantiza el tiempo y lo asocia a unos datos concretos. El resultado será la generación de un sello de tiempo que se entregará al solicitante. El sello de tiempo entregado por la TSA está firmado digitalmente por ésta, dando de esta forma valor probatorio a dichos datos. La TSA sólo garantiza un tiempo asociado a unos datos concretos; nunca verificará dichos datos ni tendrá acceso a éstos, siendo ésta una responsabilidad de quien valide el sello de tiempo. Los beneficios de los sellos de tiempos radican en asegurar el momento de la existencia de una firma, pero también como base para verificar firmas a lo largo del tiempo. Ejemplos de sistemas donde se requieren sellos de tiempo son los servicios de Administraciones Públicas que precisen garantizar fechas de entregas, servicios de Notaría Electrónica o presentación de validez de ofertas entre otros. El Directorio: Es el componente de la infraestructura de clave pública responsable de publicar los certificados y las listas de revocación que ha generado la CA. Los usuarios pueden obtener cualquier certificado o la lista de revocación vigente a través de una consulta al directorio, donde además, se pueden almacenar otro tipo de datos como la dirección de correo electrónico del usuario, el nombre del usuario, el teléfono, etc. La consulta de los certificados al directorio se realiza cuando se pretende enviar datos cifrados y no dispone del certificado de los receptores de dichos datos o cuando se precisa obtener un certificado para validar la firma electrónica de un firmante. Entidades Finales: Las entidades finales son las personas o sistemas que pueden poseer un certificado digital. Se distinguen de las no finales (por ejemplo: CA) por no poder generar certificados para otras entidades. Entre dichas entidades, podemos distinguir a personas o grupos de personas y sistemas. Los primeros dispondrán de certificados digitales para autenticación, firma electrónica o protección de datos, mientras que los segundos dispondrán de certificados digitales con el propósito genérico de autenticarse de forma segura (por ejemplo, un servidor de banca electrónica a quien se tienen que enviar datos confidenciales).

10 CONCLUSION: La conclusión a la que llegue fue que con estas transacciones es una gran solucion para lo que vendrían siendo las empresas ya que permiten guardar toda la informacion que se maneja dentro de estas y pues la transferencia de los datos no tiene costo alguno siempre y cuando las transferencias se lleven acabo dentro de la misma y de todas formas aunque las transferencias se hicieran hacia otro lugar mas lejano los costos son bajos.

11 BIBLIOGRAFIA: 1&q=red+VPN&aq=f&aqi=g1&aql=&oq= _seguridad