Seguridad Informática

Transcripción

1 Seguridad Informática M. Farias-Elinos 1 Contenido Estándares Criptografía Algunos estándares criptográficos 2 1

2 Estándares ISO ISO/IEC :1998 Information technology Vocabulary Part 8: Security ISO/IEC :1989 Information processing systems Open Systems Interconnection Basic Reference Model Part 2: Security Architecture 3 Estándares ISO ISO/IEC :1993 Interconnection Systems Management: Log control function ISO/IEC :1992 Interconnection Systems Management: Security alarm reporting function 4 2

3 Estándares ISO ISO/IEC :1993 Information technology -- Open Systems Interconnection -- Systems Management: Security audit trail function ISO/IEC :1996 Interconnection Systems Management: Confidence and diagnostic test categories 5 Estándares ISO ISO/IEC :1996 systems: Overview ISO/IEC :1996 systems: Authentication framework 6 3

4 Estándares ISO ISO/IEC :1996 systems: Access control framework ISO/IEC :1997 systems: Non-repudiation framework 7 Estándares ISO ISO/IEC :1996 systems: Confidentiality framework ISO/IEC :1996 systems: Integrity framework 8 4

5 Estándares ISO ISO/IEC :1996 systems: Security audit and alarms framework ISO/IEC TR :1996 Information technology Guidelines for the management of IT Security Part 1: Concepts and models for IT Security 9 Estándares ISO ISO/IEC TR :1997 Information technology Guidelines for the management of IT Security Part 2: Managing and planning IT Security ISO/IEC TR :1998 Information technology Guidelines for the management of IT Security Part 3: Techniques for the management of IT Security 10 5

6 Estándares ISO ISO/IEC TR :2000 Information technology Guidelines for the management of IT Security Part 4: Selection of safeguards ISO/IEC TR :2001 Information technology Guidelines for the management of IT Security Part 5: Management guidance on network security 11 Estándares ISO ISO/IEC :1999 Information technology Security techniques Evaluation criteria for IT security Part 1: Introduction and general model ISO/IEC :1999 Information technology Security techniques Evaluation criteria for IT security Part 2: Security functional requirements 12 6

7 Estándares ISO ISO/IEC :1999 Information technology Security techniques Evaluation criteria for IT security Part 3: Security assurance requirements ISO/IEC 15816:2002 Information technology Security techniques Security information objects for access control 13 Estándares ISO ISO/IEC 17799:2000 Information technology Code of practice for information security management 14 7

8 Criptografía Rama de las Matemáticas y línea de la Computación Uso de métodos y técnicas de encriptación Garantizar la confidencialidad, integridad, disponibilidad y no repudio. Base de la seguridad informática 15 Principios de criptografía Hola ANSI = Hola B64 = (00 00) = SG9sYQ== Valor Carácter Valor Carácter Valor Carácter Valor Carácter 6 bits codificado 6 bits codificado 6 bits codificado 6 bits codificado A Q g w B R h x C S i y D T j z E U k F V l G W m H X n I Y o J Z p K a q L b r M c s N d t O e u P f v / (Relleno) = Cada 3 bytes ANSI (24 bits) se convierten en 4 elementos base 64 de 6 bits c/u 16 8

9 Clasificación de los criptosistemas Según el tratamiento del mensaje se dividen en: Cifrado en bloque (DES, IDEA, RSA: bits) Cifrado en flujo (A5) cifrado bit a bit Según el tipo de claves se dividen en: Cifrado con clave secreta Cifrado con clave pública Sistemas simétricos Sistemas asimétricos 17 Criptosistemas simétricos Encriptación con clave secreta M Medio de k Transmisión k C C E K MT D K M Texto Texto Base protegida Criptograma protegida Base C no permitido Integridad Intruso M no permitido Confidencialidad 18 9

10 Criptosistemas asimétricos Encriptación con clave pública Intercambio de claves RSA RSA y DH Clave pública del usuario B Medio de Transmisión Clave privada del usuario B M Usuario A E B MT D B M C Criptograma C protegida Usuario B M no permitido Intruso Confidencialidad 19 k privada de A Firma digital Criptosistemas de clave pública k pública de B M D E B E M A D B C A Usuario A Usuario B Confidencialidad k privada de B k pública de A Firma digital Integridad Información cifrada Autenticación del usuario A; integridad de M 20 10

11 Vida de la clave y principio de caducidad Si en un sistema de clave secreta, ésta se usa como clave de una sesión que dura muy poco tiempo... y en este tiempo es imposible romperla... para qué preocuparse entonces? La confidencialidad de la información tiene una caducidad. Si durante este tiempo alguien puede tener el criptograma e intentar un ataque por fuerza bruta, obtendrá la clave (que es lo menos importante)... pero también el mensaje secreto! 21 Qué son los certificados digitales? Un certificado digital es un documento que contiene diversos datos, entre ellos el nombre de un usuario y su clave pública, y que es firmado por una Autoridad de Certificación (AC). Como emisor y receptor confiarán en esa AC, el usuario que tenga un certificado expedido por ella se autenticará ante el otro, en tanto que su clave pública está firmada por dicha autoridad

12 Certificados digitales X.509 X.509 está basado en criptografía asimétrica y firma digital. En X.509 se define un framework (una capa de abstracción) para suministrar servicios de autenticación a los usuarios del directorio X.500. La autenticación se realiza mediante el uso de certificados. - Un certificado contiene: el nombre de la CA, el nombre del usuario, la clave pública del usuario y cualquier otra información como puede ser un timestamp. - El certificado se cifra con la clave privada de la CA. - Todos los usuarios poseen la clave pública del CA. 23 Autoridades de Certificación Autoridad de Certificación es un ente u organismo que, de acuerdo con unas políticas y algoritmos, certificará -por ejemplo- claves públicas de usuarios o servidores. El usuario A enviará al usuario B su certificado (la clave pública firmada por AC) y éste comprobará con esa autoridad su autenticidad. Lo mismo en sentido contrario. A clave pública AC certificado de B certificado de A AC clave pública AC B Autoridad de Certificación AC 24 12

13 Algunos Estándares ISO ISO/IEC :1997 Information technology Security techniques Digital signature schemes giving message recovery Part 2: Mechanisms using a has-function ISO/IEC :2000 Information technology Security techniques Digital signature schemes giving message recovery Part 3: Discrete logarithm based mechanisms ISO/IEC 9798-[1..5]:1997 Information technology Security techniques Entity authentication 25 Algunos Estándares ISO ISO/IEC [1..3]:1996 Information technology Security techniques Key management 26 13