Presenta: UNIVERSIDAD NACIONAL AUTÓNOMA DE MÉXICO FACULTAD DE CONTADURIA Y ADMINISTRACIÓN Sitios web comerciales Tema II Comercio Electrónico 2.4 Elementos del e-commerce y seguridad. ING. y M.A. RENÉ MONTESANO BRAND e-commerce Siendo la base principal de los negocios electrónicos es el intercambio de dinero, se consideran 4 componentes básicos en el desarrollo de una solución de e-commerce: 1.- Cartera Virtual: Es el software que permite a los usuarios realizar sus pagos en el negocio en línea. Este software contiene la información de crédito de los clientes y los certificados que validan las transacciones con los bancos. 2.- Software del Comercio: Es el software que permite al establecimiento realizar las transacciones directamente con el banco, generalmente maneja y cifra los números de las tarjetas de crédito de los usuarios. e-commerce 3.- Software del Banco (Servidor de Pagos): Software instalado en el banco, se encarga de decodificar la información enviada por el comercio y procesar la transacción. Este software sólo procesa las transacciones de los comercios afiliados al banco dueño del sistema. Objetivo Al terminar el presente tema, el alumno identificará las diversas formas de seguridad que se encuentran en Internet para asegurar la integridad de la información al ser transferida por ésta. 4.- Autoridad Certificadora: Son las entidades encargadas de emitir los certificados digitales que permiten validar las transacciones realizadas a través de tarjetas de crédito o débito. Visa y Master Card por ejemplo, desarrollaron el servicio de SET[1] para validar las transacciones de los bancos afiliados a ellos[2]. [1] Transacción ElectrónicaSegura (SET).- Conjuntode especificaciones desarrolladas por Visa y MasterCard que valida y asegura la identidad de los trajetahabientes. <www.visa.com> [2] Vincent Quezada, op. cit., 40 1
Crioptografía La criptografía es el arte o ciencia de cifrar y descifrar información utilizando técnicas que hagan posible el intercambio de mensajes de manera segura que sólo puedan ser leídos por las personas a quienes van dirigidos. Actualmente se manejan dos tipos básicos de criptografía o cifrado de datos, la asimétrica y la simétrica. Dentro de la criptografía simétrica se cuenta con 4 sistemas básicos: de sustitución, permutación, confusión intercalada y esteganografía. Estos sistemas funcionan mediante una clave simétrica que se utiliza tanto para la codificación y decodificación de la información, es decir, el propietario de la clave de cifrado será capaz proteger e interpretar su información. Los sistemas de criptografía simétrica son los más antiguos y se remontan a los principios de la informática, estos sistemas siguen siendo usados de manera amplia a pesar de que los métodos asimétricos han probado ser más seguros. En la criptografía asimétrica se usan dos claves, una de cifrado o pública y otra de decodificación o privada, la llave pública se les entrega a todas las personas que enviarán información al propietario de la clave para proteger la información, mientras que el dueño de la clave privada la usará para descifrar la información al recibirla. 2
Los sistemas de criptografía asimétrica, por la facilidad de compartir la clave pública, han demostrado ser más sencillos y seguros de usar, garantizando que solamente los destinatarios tendrán acceso a la información. Dentro de los sistemas de cifrado asimétrico de datos más utilizados hoy en día en Internet se encuentran SSL, SHTTP, PGP y SET, algunos son más complejos que otros, pero su objetivo principal es garantizar la integridad de la información al ser enviados a través de Internet. Técnicas de criptografía. Las principales técnicas de cifrado pueden clasificarse en los siguientes cuatro grupos: Encriptamiento de llave secreta: en este esquema, el emisor y el receptor poseen la misma llave, lo que significa que ambas partes pueden encriptar y desencriptar datos con la llave. 3
Encriptamiento de llave pública: se basa en el concepto de un par de llaves, cada mitad del par puede encriptar información que sólo la otra parte podrá desencriptar. Una parte del par de llaves, sólo es conocida para el propietario designado; la otra parte, se publica abiertamente, pero continúa asociada al propietario. Firmas digitales: es el resultado de aplicar cierto algoritmo matemático, denominado función hash, a su contenido, y seguidamente aplicar el algoritmo de firma (en el que se emplea una clave privada) al resultado de la operación anterior, generando la firma electrónica o digital. Compendio y resúmenes criptográficos (Funciones Hash): es un algoritmo matemático que permite calcular un valor resumen de los datos a ser firmados digitalmente, funciona en una sola dirección, es decir, no es posible a partir del valor resumen calcular los datos originales. Cifrado El cifrado transforma los datos a una forma ilegible, para asegurar la privacidad o confidencialidad de los mismos. Los datos o texto original se denominan texto legible o texto limpio. El proceso inverso del cifrado es el descifrado, Recibe como entrada el texto cifrado y debe producir como salida el texto limpio original. 4
Una llave de cifrado es un dato que forma parte importante de la función o algoritmo de cifrado y descifrado. El espacio de llaves es el número de posibles llaves. Una llave de dos dígitos tiene un espacio de llaves de 00 a 99, es decir, 10 x 10 =100 llaves. Una llave de dos letras tiene un espacio de llaves que va desde AA hasta ZZ, es decir, 1296 llaves. Diversos criptosistemas se componen de cuatro elementos principales que son: Transformación inicial. Función criptográfica intermedia iterativa. Transformación final. Algoritmo de expansión de llave. SSL SSL es un sistema de cifrado de datos que proporciona un servicio de autentificación del lado del servidor sin requerirla para los usuarios. SSL funciona bajo el esquema de cifrado asimétrico, donde las llaves públicas son distribuidas a los clientes y la llave privada se queda del lado del servidor quien es el encargado de recibir, autenticar y descifrar la información SSL Los protocolos que utilizan SSL permiten la ejecución de aplicaciones bajo el esquema cliente-servidor permitiendo una transferencia de información libre de escuchas o piratas, asegurando la integridad de la misma. SSL implica una serie de fases básicas: Negociar entre las partes el algoritmo que se usará en la comunicación Intercambio de claves públicas y autenticación basada en certificados digitales Cifrado del tráfico basado en cifrado simétrico 5
SSL La idea que persigue SSL es encriptar la comunicación entre servidor y cliente mediante el uso de llaves y algoritmos de encriptación. El protocolo TLS esta basado en SSL y son similares en el modo de operar. SSH (Secure Shell) SSL Este protocolo fue diseñado para dar seguridad de acceso, a computadoras en forma remota. Cumple la misma función que telnet o rlogin pero además, usando criptografía, logra seguridad con los datos. A diferencia de telnet u otro servicio similar, SSH utiliza el puerto 22 para la comunicación y la forma de efectuar su trabajo es muy similar al efectuado por SSL. El Protocolo SSL Handshake Durante el protocolo SSL Handshake, el cliente y el servidor intercambian una serie de mensajes para negociar las mejoras de seguridad. Este protocolo sigue las siguientes seis fases: La fase Hola, usada para ponerse de acuerdo sobre el conjunto de algoritmos para mantener la intimidad y para la autenticación. La fase de intercambio de claves, en la que intercambia información sobre las claves, de modo que al final ambas partes comparten una clave maestra. SSL La fase de producción de clave de sesión, que será la usada para cifrar los datos intercambiados. La fase de verificación del servidor, presente sólo cuando se usa RSA como algoritmo de intercambio de claves, y sirve para que el cliente autentique al servidor. La fase de autenticación del cliente, en la que el servidor solicita al cliente un certificado X.509 (si es necesaria la autenticación de cliente). Por último, la fase de fin, que indica que ya se puede comenzar la sesión segura. 6
SSL El Protocolo SSL Record El Protocolo SSL Record especifica la forma de encapsular los datos transmitidos y recibidos. La porción de datos del protocolo tiene tres componentes: MAC-DATA, el código de autenticación del mensaje. ACTUAL-DATA, los datos de aplicación a transmitir. PADDING-DATA, los datos requeridos para rellenar el mensaje cuando se usa cifrado en bloque. TSL TSL TLS (Transport Layer Security), definida en el RFC 2246, es un protocolo para el establecimiento de una conexión segura entre un cliente y un servidor. TLS (Transport Layer Security) es capaz de autenticar el cliente y el servidor y la creación de una conexión cifrada entre los dos. TLS TLS es el sucesor de los sistemas de cifrado SSL, este protocolo de seguridad proporciona privacidad y protección de los datos enviados a través de la red de extremo a extremo, trabajando bajo un esquema de cifrado asimétrico, donde el servidor se encarga de autenticar la información, mientras que los clientes solo realizan la función de cifrado sin necesidad autenticación, aunque es posible realizarla con éste protocolo. 7
TLS TLS envuelve tres fases básicas: Negociación con el peer (otro punto que se conecta) para determinar que algoritmo soporta. Intercambio de llaves y autentificación Encriptación simétrica y autentificación de mensajes Durante la primera fase, el cliente y el server se ponen de acuerdo en el tipo de cifrado que van a utilizar, los algoritmos de autentificación para el intercambio de llaves, así como también los códigos de autentificación de mensajes. El protocolo TLS Handshake TLS El protocolo TLS Handshake primero negocia un intercambio de claves utilizando algoritmo asimétrico, como RSA o Diffie- Hellman. El protocolo TLS Registro comienza abre un canal cifrado mediante un algoritmo simétrico como RC4, IDEA, DES o 3DES. El protocolo TLS Registro El protocolo TLS Registro también es responsable de garantizar que las comunicaciones no se alteren en tránsito. Algoritmos hash como MD5 y SHA se utilizan para este fin. TLS La versión más reciente de TLS es la 1.1 y está implementada actualmente en los navegadores Opera y Netscape y en GnuTLS. Bibliografía Soria, Ramón, HTML-4. Diseño y creación de páginas Web, México, Alfa Omega-Rama. 2001. Tanenbaum, Andrew. Redes de computadoras. Tercera Edición. México Editorial Pearson. 1997. Artículos y referencias en Internet: Proyecto IPv6 México, UNAM. http://www.ipv6.unam.mx/ Wikipedia la enciclopedia libre, portada. http://es.wikipedia.org 8
Bibliografía Los medios electrónicos, la nueva forma de hacer negocios. El caso de ONE Digital Radio. Montesano Brand, René. Trabajo de titulación, Posgrado FCA UNAM, 2007. Los negocios virtuales, Quezada Vincent, Trabajo de titulación, Posgrado FCA UNAM, 2004. Muchas gracias por su atención 9