Guía Docente 2018/2019

Transcripción

1 Guía Docente 2018/2019 Seguridad en la Información Information Security Grado en Ingeniería Informática A distancia Universidad Católica San Antonio de Murcia - Tlf: (+34) info@ucam.edu -

2 Índice Seguridad en la Información... 3 Breve descripción de la asignatura... 3 Requisitos Previos... 4 Objetivos... 4 Competencias y resultados de aprendizaje... 5 Metodología... 6 Temario... 6 Relación con otras asignaturas del plan de estudios Sistema de evaluación Bibliografía y fuentes de referencia Webs relacionadas Recomendaciones para el estudio Material didáctico Tutorías

3 Módulo: Tecnologías de la Información Materia: Seguridad y administración Carácter: Obligatorio Nº de créditos: 4,5 ECTS Unidad Temporal: 3º curso 2º semestre Profesor de la asignatura: Francisco Arcas Túnez (web profesorado). farcas@ucam.edu Horario de atención a los alumnos/as: miércoles de 9:00 a 11:00. Fuera de este horario se pueden atender tutorías a petición del alumno. Preferiblemente se pedirán las citas por el campus virtual, pero se puede poner también por correo electrónico. Profesor coordinador de curso: José María Cecilia Canales Profesor coordinador de módulo: Francisco Arcas Túnez Breve descripción de la asignatura En esta asignatura se estudian los fundamentos básicos de seguridad en redes. Se inicia realizando un repaso a nociones básicas sobre seguridad, terminología asociada y tipos de ataques más representativos. A continuación, se estudian las técnicas criptográficas más relevantes empleadas para la implementación de soluciones de seguridad en redes, cubriendo modelos de criptografía simétrica, asimétrica y firma digital. En este sentido, se hará especial hincapié en el funcionamiento de las infraestructuras de clave pública, por su relevancia y uso en los actuales sistemas de seguridad. Finalmente, el resto de la asignatura plantea el estudio y análisis de soluciones de seguridad concretas, abarcando tanto los protocolos seguros como su uso para el diseño de aplicaciones seguras. Brief Description This subject covers basic security concepts in current computer networks. Initially, the most basic concepts related to security are reviewed, related terminology as well as relevant types of security attacks. Next, the subject studies well-known cryptographic techniques used nowadays for the development of security solutions for computer networks. In this part, the student will analyze not only symmetric and asymmetric models, but also digital signature. In this sense, the subject will emphasize in the operational issues associated to public key infrastructures, due to their relevance and wide use in current security systems. Finally, the remaining of the subject will focus on the study and analysis of concrete security solutions, including security protocols and their use for the design of security applications. 3

4 Requisitos Previos Para que el alumno curse la asignatura de forma satisfactoria, es necesario que el alumno tenga familiaridad con los conceptos y nociones básicas del funcionamiento de protocolos de redes de ordenadores. Así mismo, se requiere familiaridad con los comandos de administración y configuración de sistemas operativos. En este sentido, que el alumno esté familiarizado con el trabajo en un entorno en línea de comandos, ya que gran parte de las herramientas de seguridad a emplear en la parte práctica de la asignatura están disponibles para esta plataforma. Por este motivo, sería aconsejable que el alumno haya cursado y superado con éxito las asignaturas de Redes de Computadores y Sistemas Operativos. Por último, se requiere capacidad de programación del alumno en Java. Por ello, se requiere que el alumno haya cursado y aprobado las asignaturas Programación Orientada a Objetos y Desarrollo de Aplicaciones Distribuidas I. Objetivos Los objetivos específicos de la asignatura son profundizar en los objetivos de Redes de Computadores: 1. Conocer la importancia que representa la seguridad de la información en las redes de computadores. 2. Enumerar los servicios y elementos de seguridad más importantes. 3. Conocer los mecanismos criptográficos básicos. 4. Saber explicar los distintos tipos de ataques más representativos que pueden darse en una red. 5. Conocer los mecanismos de criptografía clásica y su importancia para el desarrollo de las técnicas criptográficas aplicadas en la actualidad. 6. Conocer el funcionamiento de las técnicas de criptografía simétrica. 7. Conocer el funcionamiento de las técnicas de criptografía asimétrica. 8. Conocer el funcionamiento de las técnicas de firma digital. 9. Enumerar los esquemas de cifrado más comunes empleados en la actualidad. 10. Conocer las técnicas de distribución de claves para sistemas criptográficos simétricos. 11. Conocer las técnicas de distribución de claves para sistemas de clave pública. 12. Explicar el formato de los certificados X Explicar el funcionamiento de las infraestructuras de clave pública. 14. Conocer los distintos elementos que integran una infraestructura de clave pública. 15. Saber explicar los procesos asociados a la gestión de infraestructuras de clave pública. 16. Conocer los protocolos seguros existentes en cada nivel de la pila TCP/IP. 17. Saber explicar el funcionamiento de los protocolos seguros. 18. Conocer ejemplos de aplicaciones que refuerzan su seguridad en bases al uso de protocolos seguros. 4

5 Competencias y resultados de aprendizaje Competencias transversales CT1 - Capacidad de análisis y síntesis. CT2 - Capacidad de organización y planificación. CT3 - Capacidad de gestión de la información. CT4 - Resolución de problemas. CT5 - Toma de decisiones. CT6 - Trabajo en equipo. CT11 - Razonamiento crítico. CT12 - Compromiso ético. CT14 - Aprendizaje autónomo. CT15 - Adaptación a nuevas situaciones. CT16 - Creatividad e innovación. CT18 - Iniciativa y espíritu emprendedor. CT19 - Motivación por la calidad. CT21 - Capacidad de reflexión. CT22 - Comprender los puntos principales de textos claros y en lengua estándar si tratan sobre cuestiones relacionadas con el ámbito de estudio. Competencias específicas TI1 - Capacidad para comprender el entorno de una organización y sus necesidades en el ámbito de las tecnologías de la información y las comunicaciones. TI2 - Capacidad para seleccionar, diseñar, desplegar, integrar, evaluar, construir, gestionar, explotar y mantener las tecnologías de hardware, software y redes, dentro de los parámetros de coste y calidad adecuados. TI4 - Capacidad para seleccionar, diseñar, desplegar, integrar y gestionar redes e infraestructuras de comunicaciones en una organización. TI7 - Capacidad para comprender, aplicar y gestionar la garantía y seguridad de los sistemas informáticos. Resultados de aprendizaje RA Describir diferentes procesos de desarrollo software. 5

6 RA Explicar diferentes técnicas de modelado software, sus componentes y posibles usos. RA Aplicar diferentes técnicas de modelado a la resolución de supuestos prácticos mediante el uso de la notación y las herramientas adecuadas. RA Identificar los distintos patrones de diseño relacionándolos con los problemas que resuelven. RA Explicar las características principales de la reutilización y la reingeniería. RA Comprender las principales metodologías de gestión de proyectos. Metodología Evaluación Tutoría Metodología Estudio personal Horas 4,5 24,8 36 Horas de trabajo Presencial 4,5 horas (4%) Horas de trabajo no presencial Realización de ejercicios, presentaciones, 40,5 108 horas (96%) trabajos y casos prácticos Lecturas recomendadas y búsqueda de 6,7 información TOTAL 112,5 4,5 108 Temario Tema 1. Introducción. Programa de la enseñanza teórica 1. Introducción al concepto de seguridad de la información. 2. Objetivos básicos de seguridad 3. Arquitectura X Terminología 6

7 Tema 2. Amenazas de seguridad. 1. Ataques de red 2. Malware Tema 3. Introducción a la criptografía. Criptografía clásica. 1. Introducción 2. Escítala 3. Polybios 4. Cifrado del César 5. Vignère 6. Playfair 7. Vernam 8. Sistemas de rotor. Tema 4. Criptografía moderna. 1. Criptografía simétrica. a. Introducción b. Requisitos c. Tipos: Stream Ciphers, Block Ciphers d. Modos de operación de cifrado por bloques: ECB, CBC, CFC, OFB e. Esquema de cifrado Feistel f. Algoritmos de criptografía simétrica i. DES ii. 3DES iii. AES g. Distribución de claves 2. Criptografía asimétrica. a. Introducción. b. Aplicaciones 7

8 c. Características d. Algoritmos de criptografía asimétrica i. Diffie-Hellman ii. RSA 3. Funciones Hash Criptográficas a. Introducción. b. Funciones hash: i. SHA ii. MD5 c. Aplicaciones i. Autenticación de mensajes ii. Firma digital iii. Otras aplicaciones Tema 5. Infraestructuras de clave pública. 1. Introducción. 2. Elementos de la PKI. 3. PKI basada en X Esquemas de certificación. 5. Servicios básicos: emisión, renovación, revocación. Tema 6. Protocolos de seguridad. 1. Introducción 2. Nivel de acceso: a. IEEE 802.1X b. IEEE i 3. Nivel de red: a. IKEv2 b. IPsec. 8

9 4. Nivel de transporte a. SSL b. TLS Tema 7. Aplicaciones seguras. 1. Kerberos 2. HTTPS 3. SSH 4. S/MIME Programa de la enseñanza práctica Los alumnos realizarán una serie de trabajos de prácticas que integren los conceptos y las técnicas de seguridad abarcadas en el programa de enseñanza teórica de la asignatura. Concretamente, las prácticas a desarrollar versarán sobre los siguientes temas: Práctica 1. Introducción a la seguridad. En esta práctica pretende que el alumno adquiera consciencia de la situación actual de la problemática de la seguridad de los sistemas de información, centrándose en aspectos como la ciberseguridad y ciberdefensa. Para ello se revisarán noticias actuales públicas en prensa, así como documentales. Práctica 2. Sistemas criptográficos Se organiza en dos partes. Sistemas criptográficos clásicos. Esta práctica está orientada al estudio de los sistemas de cifrado clásico con el fin de familiarizarse con las técnicas tradicionales de sustitución y transposición. Apoyándose del uso de la herramienta CrypTool, el alumno estudiará las ventajas/inconvenientes de cada sistema de cifrado y conocerá aspectos como la entropía o resistencia a ataques de criptoanálisis. Sistemas criptográficos modernos. Esta práctica pretende que el alumno se familiarice con el uso de los algoritmos criptográficos modernos de tipo simétrico y asimétrico, así como las funciones de hash. Concretamente, el alumno experimentará con el uso de operaciones criptográficas en Java, el cuál es uno de los lenguajes de programación más usados en la actualidad para el desarrollo de aplicaciones Práctica 3. Certificación. Esta práctica introduce al alumno con la manipulación de certificados. Esto incluye la generación y gestión de certificados de forma correcta. Así mismo se experimentará con el uso de certificados en una aplicación real para implementar una operación básica de firma digital y/o autentificación de mensajes. Práctica 4. Seguridad a nivel de transporte. En esta práctica el alumno trabajará el desarrollo de comunicaciones seguras para aplicaciones distribuidas que se comunican de forma remota a través de redes inseguras. Para ello, a modo de ejemplo, se estudiará sobre la plataforma Java las librerías que implementan un transporte seguro mediante el protocolo SSL/TLS. 9

10 Relación con otras asignaturas del plan de estudios Esta asignatura proporciona un complemento fundamental al resto de materias relacionadas con el desarrollo de aplicaciones, así como con el estudio de las comunicaciones en redes. Por un lado, los contenidos vistos en esta asignatura complementan la formación adquirida por el alumno en materias como Desarrollo de Aplicaciones Distribuidas o Redes de Computadores. Por otro lado, esta asignatura proporciona al alumno las capacidades adecuadas para cursar la asignatura de Auditoría y Peritaje. Sistema de evaluación Convocatoria de Febrero/Junio/Septiembre: - Primera prueba parcial: 30% del total de la nota. - Prueba final: 30% del total de la nota. - Evaluación de prácticas y problemas: 30% del total de la nota. - Participación: 10% del total de la nota. Se evaluará mediante la realización de tareas optativas, así como la participación en actividades voluntarias que se planteen. Del mismo modo, se tendrá en cuenta la actividad del alumno en la asignatura mediante el uso de herramientas como foros y videoconferencias. El alumno superará la asignatura cuando la media ponderada sea igual o superior a 5 puntos y tenga una nota de, al menos, 4 puntos en todas las partes que componen el sistema de evaluación cuya ponderación global sea igual o superior al 20%. Si el alumno tiene menos de un 4 en alguna de las partes cuya ponderación sea igual o superior al 20%, la asignatura estará suspensa y deberá recuperar esa/s parte/s en la siguiente convocatoria dentro del mismo curso académico. La/s parte/s superada/s en convocatorias oficiales (Febrero/Junio) se guardarán para las sucesivas convocatorias que se celebren en el mismo curso académico. En caso de que no se supere la asignatura en la Convocatoria de Septiembre, no contarán las partes aprobadas para sucesivos cursos académicos. El sistema de calificaciones (RD 1.125/2003. de 5 de septiembre) será el siguiente: 0-4,9 Suspenso (SS) 5,0-6,9 Aprobado (AP) 7,0-8,9 Notable (NT) 9,0-10 Sobresaliente (SB) La mención de matrícula de honor podrá ser otorgada a alumnos que hayan obtenido una calificación igual o superior a 9,0. Su número no podrá exceder del 5% de los alumnos matriculados en una materia en el correspondiente curso académico, salvo que el número de alumnos matriculados sea inferior a 20, en cuyo caso se podrá conceder una sola matrícula de honor. 10

11 Bibliografía y fuentes de referencia Bibliografía básica W. Stallings. Cryptography and Network Security. Prentice Hall ISBN: W. Stallings. Fundamentos de Seguridad en Redes. Prentice Hall ISBN: P. Caballero. Introducción a la Criptografía. 2ª Edición. Editorial Ra-Ma ISBN: J. Ramió. Libro Electrónico de Seguridad Informática y Criptografía. Versión M.A. Huth. Secure Communicating Systems. Design, Analysis and Implementation. Cambridge University Press ISBN: B. Schneier. Secrets & Lies. Digital Security in a Networked World. Jon Wiley & Sons ISBN: R. Atkinson. Security Architecture for the Internet Protocol. Internet RFC F. Warwick; S. Chokhani. Certificate Policy and Certification Practices Framework. Internet RFC C. Scott; P. Wolfe. Virtual Private Networks. 2nd Edition. O Reilly ISBN: Bibliografía complementaria J. Ramió. Aplicaciones criptográficas. Departamento de Publicaciones EUI. UPM. W. Cheswick; S. Bellovin. Firewalls and Internet Security: Repelling the Wily Hacker, Addison- Wesley ISBN: X. B. Schneier. Secure Communicating Systems. Design, Analysis and Implementation. Cambridge University Press. ISBN: J.Seberry; J. Pieprzyk. Cryptography: An Introduction to Computer Security. Prentice Hall. ISBN: R. Smith. Internet Cryptography. Addison Wesley ISBN: D. Welsh. Codes and Cryptography. Oxford Science Publications ISBN: E. Kaufman, A. Newman. Implementing IPsec. John Wiley & Sons ISBN: M. Murhammer; T. Bourne; T. Gaidosch; C. Kunzinger; L. Rademacher; A. Weinfurter. A Comprehensive Guide to Virtual Private Networks, Volume I. IBM Redbooks ISBN: A. O. Alan; P. Freier; P.C. Kocher. The SSL Protocol Version 3.0. Internet RFC W. Ford; M. Baum. Secure Electonic Commerce: Building the Infraestructure for Digital Signatures and Encryption. Prentice Hall ISBN:

12 Webs relacionadas Internet Engineering Task Force: Institute of Electrical and Electronics Engineers: National Institute of Standards and Technology. Open SSL: Cryptography and SSL/TLS Toolkit. StrongSwan: the OpenSource IPsec based VPN solution IPsec-Tools. Java Secure Socket Extension html Kerberos MIT implementation. Recomendaciones para el estudio La asignatura está estructurada en dos partes. En primer lugar, se abordan fundamentos básicos de la criptografía, principalmente los distintos esquemas de cifrado, así como las infraestructuras de clave pública. En segundo lugar, se abordan los protocolos seguros que existen a día de hoy más relevantes, así como ejemplo de aplicación mediante el diseño de aplicaciones seguras. En este sentido, es fundamental que el alumno adquiera una correcta comprensión de la primera parte de la asignatura pues, de lo contrario, será imposible adquirir una correcta comprensión de los contenidos tratados en la segunda parte. La misma problemática se presenta con las prácticas de la asignatura. Sólo mediante un correcto estudio de los protocolos y aplicaciones seguras se conseguirá realizar una correcta solución de seguridad para el problema planteado. Material didáctico Además de la bibliografía recomendada en esta guía docente (básica y complementaria), en el apartado de Recursos del Campus Virtual, el estudiante dispondrá de recursos adicionales que le servirán de apoyo al proceso de aprendizaje. Dicho material se ofrecerá organizado por temas, de acuerdo con la organización de contenidos detallada anteriormente. Concretamente se pondrán a disposición del alumno los siguientes recursos: Apuntes sobre cada tema, indicando conceptos relevantes y ejemplos de uso. Enlaces de interés que permitan la ampliación de información sobre los temas. Presentaciones con explicación oral del profesor de los temas más dificultosos. 12

13 Tutorías Breve descripción A través del Campus Virtual se van a establecer diferentes mecanismos de tutorización, soportados por las distintas herramientas disponibles: Foro: Esta herramienta está dirigida a fomentar el trabajo en grupo, ya que permite desarrollar un tema específico de forma conjunta. Su dinámica permite a los estudiantes ir nutriendo y generando un debate con los diferentes planteamientos e intervenciones que realicen. Estas serán moderadas por el profesor y las reorientará hacia el propósito formativo. Chat: Este espacio cabe destacar como estrategia pedagógica de evaluación formativa, al ser considerado como una herramienta interactiva síncrona que permite establecer diálogos de discusión, reflexión para generar conocimiento y retroalimentación inmediata. Videoconferencia: Transmisión de charlas o seminarios del profesor con la participación de los alumnos. Tutorías individuales o colectivas: ayuda al alumno a aclarar dudas, estas pueden ser presenciales (si el alumno así lo demanda) o mediante el chat, teléfono y correo electrónico. 13