PONTIFICIA UNIVERSIDAD CATÓLICA DEL ECUADOR FACULTAD DE INGENIERÍA ESCUELA DE SISTEMAS

Transcripción

1 PONTIFICIA UNIVERSIDAD CATÓLICA DEL ECUADOR FACULTAD DE INGENIERÍA ESCUELA DE SISTEMAS DISERTACIÓN PREVIA A LA OBTENCIÓN DEL TÍTULO DE INGENIERO EN SISTEMAS Y COMPUTACIÓN GUÍA DE APLICACIÓN DE TECNOLOGÍAS DE SEGURIDAD PARA GARANTIZAR EL COMERCIO ELECTRÓNICO EFECTIVO A TRAVÉS DE LA WEB NOMBRES VALERIA CATERINE BALSECA SAMANIEGO CARLOS DAVID PAZ RUIZ DIRECTOR: ING. FABIO PUENTE BURBANO QUITO, 2008

2 PROFESOR DIRECTOR: Ing. Fabio Puente Burbano PROFESORES CORRECTORES: Ing. Catherine Infantes Mantilla Ing. Jorge Alarcón Mena II

3 DEDICATORIA Este trabajo lo dedicamos a nuestros padres, hermanos y a todos los que hicieron posible culminar nuestra carrera con éxito. III

4 AGRADECIMIENTO Agradecemos a nuestros padres, a nuestro Director Ing. Fabio Puente y a nuestros correctores Ing. Catherine Infantes e Ing. Jorge Alarcón por su apoyo, consejos y su conocimiento impartido a lo largo de la realización de este trabajo. IV

5 TABLA DE CONTENIDOS RESUMEN.. 1 CAPÍTULO I: SEGURIDAD ORIENTADA A LA WEB Arquitectura de Seguridad para Aplicaciones Web Definiciones Aplicación Web Servidores Web Relación Cliente y Servidor Web por medio de páginas Web Apache Servidores de Bases de Datos MySQL PHP Modelo de desarrollo Modelo distribuido 3 capas Presentación o Interfaz Lógica de negocio Almacenamiento de Datos Características del modelo distribuido 3 capas Arquitectura de una aplicación Web Aplicación utilizando PHP con MySQL Seguridad Autenticación y Autorización Autenticación Autorización Mecanismos de Seguridad Fundamentos de la Encriptación Encriptación de Clave Privada Encriptación de Clave Pública V

6 Firmas Digitales Certificados Digitales Tráfico de Relleno Control de Encaminamiento Unicidad Importancia de la Información Amenazas contra la Seguridad Exposición de datos confidenciales Pérdida o destrucción de datos Modificar datos Denegación de servicio Errores de software Repudio Protocolos de Transmisión Seguros en Internet Internet SSL SHTTP Seguridad de Apache e IIS CAPÍTULO II: COMERCIO ELECTRÓNICO EN ECUADOR Comercio Electrónico Clasificación del Comercio Electrónico B2B Business to Business (Empresa a Empresa) B2C Business to Consumer (Empresa a Consumidor) B2A Business to Administration (Empresa a Estado) A2C Administration to Consumer (Estado a Consumidor) C2C Consumer to Consumer (Consumidor a Consumidor) C2B Consumer to Business (Consumidor a Empresa). 33 VI

7 2.1.2 Modelos de Comercio Electrónico Tienda Electrónica E-Shop Centro Comercial Electrónico E-Mall Aprovisionamiento Electrónico E-Procurement Subasta Electrónica E-Auction Comunidad Virtual Suministro de servicios en línea Corretaje de Información Modelos de publicidad Impacto del Comercio Electrónico Aspectos Jurídicos Propiedad Intelectual Seguridad Informática Derecho a la Intimidad Derecho de los Consumidores Lineamientos para la protección al consumidor Casos de Éxito de Comercio Electrónico en Ecuador Caso de Éxito Banco Pichincha.. 44 CAPÍTULO III: MÉTODOS DE PAGO POR INTERNET Gateways de pago PayPal ClickandBuy Tarjetas de crédito Optar Banco Internacional Verified By VISA Proceso de Suscripción Proceso de Autenticación 55 VII

8 MasterCard Secure Code Requerimientos para implementar pagos en línea en un sitio Web. sitio Requisitos de Tienda Virtual Requerimientos Generales Requerimientos para las Transacciones Requerimientos del sitio Web Características de los gateways Niveles de Seguridad CAPÍTULO IV: GUÍA DE APLICACIÓN DE TECNOLOGÍAS DE SEGURIDAD Tecnología orientada a través de un servicio Flujo de Pago Implementación Carro de la compra Pagos en el sitio Web codificado Generación de claves privadas y certificados Generar una clave privada Generar un certificado público Añadir certificados al perfil de PayPal Cargar el certificado público Descargar el certificado público de PayPal Creación de código de botón de Pagos en el sitio Web codificado Comprar ahora Páginas de pago personalizado Cálculo de envío, manipulación e impuestos Retroceso Automático Pruebas Pruebas SandBox 94 VIII

9 Integración de SandBox Registro de Vendedor en SandBox Creación de Cuentas de Prueba Desarrollo de Pruebas Resultados Tecnología orientada a transacciones directas Flujo de Pago Implementación PayPal Samples para PHP Obtener las Credenciales API Modelo Request Response Formato NVP URL-Encoded Formato Request Formato Response Formato de Respuesta Exitosa Formato de Respuesta de Error Modificar su código Pruebas Pruebas SandBox Desarrollo de Pruebas Resultados CAPÍTULO V: CONCLUSIONES Y RECOMENDACIONES Conclusiones Recomendaciones 146 VI: ANEXOS 149 VII: BIBLIOGRAFÍA 150 IX

10 TABLA DE FIGURAS 1.1 Relación Cliente y Servidor Web por medio de páginas Web Módulos de Apache Funcionamiento de PHP Modelo Distribuido 3 capas Arquitectura Multinivel Flujo que sigue la información en una aplicación PHP con MySQL La Encriptación Proceso de cifrado y descifrado La encriptación de clave pública Proceso de una Firma Digital Amenazas contra la seguridad Exposición de Datos Confidenciales Pila de protocolos Capa Adicional SSL Proceso de capa SSL Tipos Básicos de Comercio Electrónico Flujo de pago con tarjeta de crédito en un sitio Web Servicio de Verified by Visa Modelo de Dominios Proceso de Suscripción Proceso de Autenticación Análisis Estadístico de gateways Diagrama del proceso Flujo de Pago con PayPal Elegir el estilo de botón Añadir campos de opción Elegir el estilo de botón Generación de clave privada Generación de certificado público 76 X

11 4.8 Elegir el estilo de botón Editar estilo de página personalizada Cálculos de envío Impuesto de ventas nacionales Impuesto de ventas internacionales Formulario de Registro Creación de cuenta de prueba Creación de Cuenta Exitosa Sitio Web decompras.com Página Carro de la compra Página de identificación de PayPal Revisar Pago Pago Realizado Recibo de Compra Historial de la cuenta de prueba tipo Personal Historial de la cuenta de prueba tipo Business Creación de cuenta PayPal Selección del Tipo de solución de pago Cómo trabaja una cuenta comercial Diagrama del proceso Flujo de Pago Directo Credenciales API Arquitectura Cliente Servidor de PayPal API Métodos URL-Encoded Formato NVP Request Formato NVP Response Credenciales API SandBox Sitio Web decompras.com Página Carro de la compra Página login de usuario Datos Cliente Recibo XI

12 TABLA DE TABLAS 3.6 Precio por Transacción para Ecuador Características de los gateways Excepciones del Flujo Pago con PayPal Cómo funciona Pagos en el sitio Web codificado Añadir artículos al carro Cuadro Comparativo del código para el botón Carro de la compra Precio por Transacción utilizando Pago Directo Excepciones del Flujo Pago Directo Parámetros de Seguridad y Parámetros API Parámetros Generales Detalles de Tarjeta de Crédito Información del comprador Detalles del comprador Detalles de dirección del comprador Detalles del Pago Detalles de dirección de envío Formato de respuesta exitosa Campos de Respuesta API Formato de respuesta de error Añadir artículos al carro Comprar Ahora Ingresar a la cuenta del usuario en el sitio Web Cargar información del pago Pagar Generar recibo XII

13 RESUMEN El presente trabajo detalla el uso de tecnologías que deben ser utilizadas en un sitio Web de Comercio Electrónico para garantizar el pago en línea de manera segura. Se definen conceptos de seguridad y tecnologías, muestra la situación actual del Comercio Electrónico en el país, analiza diferentes métodos de pago y se desarrolla una guía aplicativa con todos los pasos a seguir para implementar un servicio de pago en el sitio Web con niveles de seguridad. Las seguridades informáticas como autenticación de usuarios, encriptación de información, uso de firmas electrónicas y certificados de seguridad son necesarias en un Sitio Web, ya que permiten tanto al vendedor como al comprador realizar una transacción efectiva sin temor a que su información sea alterada e indebidamente utilizada, es decir, minimizar el riesgo de fraude en un negocio. El Comercio Electrónico es actualmente un medio efectivo de venta de productos a través de Internet. Este medio es conveniente para cualquier vendedor puesto que los costos operativos del negocio son mínimos en relación a un negocio normal. Sin embargo, el vendedor debe tomar en cuenta qué medidas de seguridad va a implementar en su sitio Web para evitar cualquier tipo de fraude. En el país, son muy pocas las empresas que ofrecen el servicio de pago en línea. Este servicio no tiene una disponibilidad inmediata y los costos son altos. Tomando en cuenta estos precedentes, hemos realizado el presente trabajo para brindar al vendedor opciones de servicio de pago en línea que pueden ser implementadas de manera inmediata y con un nivel de seguridad óptimo para un negocio. XIII