SEGURIDAD INFORMATICA Leonardo Sena Mayans Julio 2000 Introducción Existen, en los tiempos que corren, dos elementos que incrementan la importancia de brindar una adecuada seguridad a la información corporativa por parte de las empresas: la importancia creciente de la información para las empresas y el aumento de los riesgos a la que la misma se ve expuesta. Las empresas pueden llegar a triunfar o a morir solamente por la información que manejan, lo que ha llevado a que ésta sea considerada un activo cada vez más valioso, aún cuando no podemos llegar a cuantificarlo adecuadamente. Y es esto último lo que impide que los datos se vean reflejados en una línea del balance, ya que cumplen todas las condiciones restantes de un activo según lo establecido por el marco conceptual. Así, debemos establecer controles eficientes de salvaguarda de activos - como lo hacemos para los bienes tangibles - para los datos. Por otro lado, las empresas se ven actuando en ambiente muchos más abiertos que antes; anteriormente los datos estaban administrados por un CPD centralizado, con escasa interacción aún con los usuarios internos. Hoy día es generalizado un procesamiento descentralizado, ambientes cliente-servidor e ingresos al sistema de usuarios que no pertenecen a la empresa (clientes, proveedores, etc.). Esta apertura, así como trae aparejado nuevas oportunidades de negocios, mayor eficiencia a las operaciones y/o menores costos de transacción, genera nuevos y más complejos riesgos que se deben mitigar, o por lo menos considerar. Al decidir qué tipo de procedimientos de seguridad implantar sobre nuestros datos, el valor creciente de la información y las nuevas tecnologías, impactan en la ecuación costo-beneficio, volviéndola más grande y compleja. También nuestra empresa maneja información de terceros, por lo tanto, no sólo debe lograr procesar la misma de una manera segura, para impedir perdida de imagen y/o acciones legales en su contra, sino que la falta de seguridad o la apariencia de falta de seguridad puede actuar como un impedimento para concretar negocios. Según la consultora KPMG, en el año 1999, la seguridad era el principal inhibidor del comercio electrónico en opinión del 78% de los responsables de e-commerce en Europa. Intentaremos a continuación brindar un desarrollo del concepto, implicancias y técnicas de seguridad actuales en el marco previsto de acuerdo a los objetivos de la materia. Concepto de seguridad La seguridad tiene tres objetivos principales: Confidencialidad: prevención de divulgación no autorizada de los datos Integridad: prevención de modificaciones no autorizadas a los datos Disponibilidad: prevención de interrupciones no autorizadas de los recursos informáticos Para alcanzar estos objetivos la empresa debe contar con procedimientos de seguridad de información adecuados, formalmente definidos y ampliamente divulgados. 1
Estos procedimientos, como vemos en la siguiente figura, contribuyen a fortalecer los controles y de esa manera reducir de manera significativa el impacto generado por alguna de las amenazas (valiéndose de las vulnerabilidades existentes). Ataques Internos -Fallas -Sabotages Amenazas Soporte -Desastres Infraestructura Información Ataques Externos -Hackers -Clientes Codigos/Aplicaciones -Virus -Caballos de Troja Estadísticamente, la amenaza más importante para nuestros datos, la encontramos dentro de la empresa. Los accesos indebidos o no autorizados a información corporativa son realizados principalmente por empleados de la misma. A esto hay que sumarle los ataques de virus informáticos ocasionados intencionalmente o por ignorancia, por los propios empleados. En sentido contrario transitan, en general las empresas de nuestro país, preocupándose más por los agentes externos que por los internos. No es de olvidar que los ataques realizados por los hackers o crackers son tapa de los diarios, lo que lleva a que la gente se sensibilice más por este tipo de delitos. Lo importante es que la empresa realice un análisis de riesgos formal, para poder identificarlos y establecer su importancia. El resultado de este análisis establecerá si se está más expuesto a ataques internos o externos, o viceversa, o se debe considerar otro tipo de amenazas, y a partir de allí se podrá desarrollar los procedimientos de seguridad con un foco preciso. Los mecanismos básicos de seguridad, sin importar que tecnología es utilizada, son los siguientes:! Autenticación! Autorización! Administración! Auditoría y registración! Mantenimiento de la integridad de los datos Cualquiera de los cinco mecanismos son llevados a cabo por medio del uso de técnicas de seguridad, las cuales sí van a depender de la tecnología utilizada. A medida que las nuevas tecnologías permiten el uso de herramientas (para soporte del negocio) más complejas, es necesario desarrollar nuevas técnicas de seguridad que nos ayuden a controlar nuestros datos. 2
Políticas de Seguridad El objetivo de la Políticas de Seguridad de Información, es encima de todo, explicitar el posicionamiento de la organización con relación a la misma, además de servir de base para desarrollar los procedimientos de seguridad. La empresa debe contar con un documento formalmente elaborado sobre el tema, el cual obligatoriamente será divulgado entre todos los funcionarios. No puede ser simplemente una carta de intención, así como no es necesario un alto grado de detalle. Las Políticas deben contener claramente las practicas que serán adoptadas por la compañía. Estas Políticas deben ser revisadas, y de ser necesario actualizadas, periódicamente. Lo más importante para que estas surtan efecto es lograr la concientización, entendimiento y compromiso de todos los involucrados. A manera de ejemplo, sin ser exhaustivo, las Políticas deben comprender:! Definir qué es seguridad de la información, cuales son sus objetivos principales y su importancia dentro de la empresa! Mostrar el compromiso de la alta gerencia con la misma! Filosofía respecto al acceso a los datos! Percepción y responsabilidades inherentes al tema! Establecer la base para poder diseñar normas y procedimientos referidos a: Organización de la seguridad Clasificación y control de los datos Seguridad de las personas Seguridad física y ambiental Plan de contingencia Prevención y detección de virus Administración de los computadores A partir de las Políticas podremos comenzar a desarrollar, primero las normas, y luego los procedimientos de seguridad que serán la guía para la realización de las actividades. En la siguiente figura se muestra una visión macro de cómo debe ser entendida la estructura de políticas, normas y procedimientos de seguridad en las empresas. Estratégico Táctico Que? Políticas Quien? Directrices Operacional Como? Normas y procedimientos 3
Clasificación de los datos y del nivel riesgo Como el grado de sensibilidad y criticidad de los datos es muy variable, el grado de seguridad requerido no será el mismo para todos. No se va a asegurar de la misma manera la bases de datos donde se tienen los códigos postales (que probablemente tenga el mínimo nivel de seguridad) que como se hará con las bases de datos donde están los datos filiatorios de los clientes. Es simplemente una decisión costo-beneficio Por lo expuesto, se deben clasificar los datos, lo cual es similar a establecer su valor. Esta clasificación servirá para incorporar niveles de seguridad adecuados para cada dato de la clasificación. La clasificación debe hacerse sobre la base de un avalúo individual del contenido de las bases de datos, y de su importancia para el negocio, considerando las consecuencias de pérdida, divulgación o acceso indebido. Los usuarios, que no se debe olvidar son los dueños de los datos (aunque generalmente se le cede la propiedad al personal de Informática, quien solamente debe tener la administración), son los responsables de realizar esta tarea, dado que son ellos los que conocen los datos y lo que pueden evaluar el impacto en el negocio. El análisis realizado, así como los resultados, deben formalizarse en un documento y debe ser periódicamente revisado. Como sugerencia de clasificación, pueden utilizarse los siguientes rótulos o niveles:! Confidencial (información estratégica o de sigilo absoluto)! Uso restringido (uso para grupos restringidos de las gerencias y/o jefaturas de área)! Uso interno (Funcionarios)! Uso público (clientes, proveedores, otros) La sensibilidad de la información debe ser analizada a partir de las siguientes perspectivas (los objetivos de la seguridad): Grado de confidencialidad, determinado por el daño o perdida sufrido por la empresa ante un acceso no autorizado Grado de sensibilidad respecto a la integridad, determinado por el daño o pérdida sufrido ante la inexactitud de la información Grado de sensibilidad a la disponibilidad, determinado por el daño o pérdida sufrida frente a la no-disponibilidad de los datos cuando estos son requeridos. Complementariamente al nivel de criticidad de los datos, se debe precisar el nivel de riesgo al que están expuestos. Se definen niveles de riesgo de acuerdo a la probabilidad de que se materialice una amenaza y al grado de impacto producido, en caso que lo anterior acontezca. Las amenazas son acciones que ponen en peligro la integridad, disponibilidad y confidencialidad de los datos, como ser errores, accesos indebidos, desastres naturales, etc. El impacto es el resultado para la empresa del acaecimiento de la amenaza, estos resultados pueden ser de pérdidas financieras, pérdida de imagen, costo de oportunidad, etc. Los riesgos dependerán de las plataformas (Windows NT, Unix, etc.) y tipo de equipamiento (PC, AS/400, etc.) en donde se mantienen los datos, y del intercambio de la misma desde o hacia terceros (vía Internet, vía línea discada, etc.). Si la empresa mantiene, por ejemplo, todos sus datos bajo una aplicación para Windows NT en una red de PCs tendrá un nivel de riesgo único para la totalidad de los datos. En cambio si se utilizan dos aplicaciones, una bajo Windows NT y otra bajo Unix, los riesgos serán distintos para unos y otros datos. A su vez, si a la primera situación le sumamos que se reciben órdenes de compra vía Internet, el nivel de riesgo al que se expone toda la información es mayor que el establecido en primera instancia. Estos sólo han sido casos ficticios, a modo de ejemplo. En conclusión, para establecer procedimientos de seguridad adecuados (desde el punto de vista costo-beneficio) para cada grupo de datos, es necesario realizar una clasificación de los datos y un análisis de riesgo, con el fin de determinar prioridades y realizar de esa manera una administración más eficiente de los recursos de la empresa. 4
Seguridad física, ambiental y lógica Si bien cuando se habla de proteger información se piensa inmediatamente en controles para el acceso lógico a la misma, debe existir una primera barrera que muchas veces es olvidada o subvalorada. Esta barrera está compuesta por los procedimientos de seguridad física y ambiental. Nos referimos a seguridad física como los procedimientos existentes para controlar el acceso físico al equipamiento informático. Como ejemplo: cámaras de vídeo en la sala del CPD y puertas de acceso al CPD con cerraduras electrónica activadas por tarjetas Nos referimos a seguridad ambiental como los procedimientos existentes para controlar que efectos ambientales perjudiquen el procesamiento, los equipamientos y el personal. Ejemplos: el CPD cuenta con un sistema de supresión de incendios adecuado y el equipamiento central cuenta con protectores de pico de tensión eléctrica. Nos referimos a seguridad lógica como los procedimientos existentes para controlar el acceso lógico no autorizado al información, ya sea que se realice mientras esta se encuentra almacenada o durante la transmisión. Mecanismos básicos de seguridad a) Autenticación Autenticación es la verificación de la identidad del usuario, generalmente cuando ingresamos al sistema o a la red (log-on), o accedemos a una base de datos. Cuando presentamos nuestra cédula de identidad a las autoridades o a cualquier otra persona que lo requiera, nos estamos autenticando. Aquí se utiliza el mismo concepto pero con técnicas distintas, inclusive mucho más exactas que la anterior. Típicamente para ingresar a un sistema se utiliza una contraseña, sin embargo cada vez más se están utilizando otras técnicas que otorgan mayores beneficios desde el punto de vista de la seguridad. Es posible autenticarse, básicamente, de tres maneras:! Por lo que uno sabe (una contraseña)! Por lo que uno tiene (una tarjeta magnética)! Por lo que uno es (las huellas digitales) La utilización de más de un método a la vez aumenta la seguridad de que la autenticación sea correcta. Aún cuando la utilización conjunta es cada vez más utilizada por las empresas, la decisión adoptada debe ir de la mano con el valor de la información a proteger. Diariamente se desarrollan nuevas, más exactas y más baratas técnicas de autenticación, impulsadas por el desarrollo tecnológico en general y por la creciente necesidad de seguridad de la información. En primera instancia, dado que es la técnica más utilizada y no siempre de manera adecuada, nos referiremos a la autenticación mediante contraseñas. La fortaleza del método está determinada por las características de la contraseña. Cuanto más grande y difícil de adivinar esta sea, más difícil será de burlar el mecanismo. A su vez la contraseña debe ser confidencial, y esto es muy importante. No puede ser conocida por nadie más que el usuario. Muchas veces sucede que los usuarios se prestan las contraseñas o se apuntan las mismas en un papelito pegado en el escritorio fácilmente legible por cualquier otro empleado, comprometiendo a la empresa y a nosotros mismos, dado que toda acción que se realice con esa contraseña es responsabilidad nuestra. Para lograr que la contraseña sea difícil de adivinar, esta debe tender lo más posible a un conjunto de caracteres (con minúsculas, mayúsculas y números) inteligible. Lo que sucede es que los usuarios difícilmente recuerdan contraseñas tan elaboradas y utilizan palabras previsibles (el nombre, el apellido, el nombre de usuario, el mes en curso, el nombre de la esposa, el nombre del cuadro de fútbol), que facilitan la tarea de quién desea ingresar al sistema de forma no autorizada. Como medida complementaria se debe obligar al cambio de contraseña de manera periódica (30 45 días), impidiendo el uso de contraseñas utilizadas en el pasado. Veamos ahora dos de las nuevas técnicas más utilizadas hoy día. 5
Security tokens (o ID card) La autenticación es realizada a través de una contraseña que cuenta con dos componentes, uno fijo (un PIN de usuarios) y otro variable. El componente variable es generado por el security token (que no es otra cosa que una pequeña tarjeta con un display), el cual genera una nueva contraseña cada 60 segundos. Estas contraseñas son generadas en sincronismo con el servidor (de otra manera no es posible verificar la contraseña), y por medio de funciones matemáticas alimentadas por la hora. En resumen, a cada usuario se le asigna un PIN y se le entrega un security token. Luego, cada vez que intente ingresar al sistema deberá digitar su PIN y la contraseña generada por su token. El dinamismo en el cambio de contraseñas, así como el largo de las mismas (al ser otorgadas por el token evita que el usuario deba recordar contraseñas grandes, lo cual generalmente no puede hacer), robustecen la seguridad de este mecanismo. Reconocimiento biométrico Las técnicas biométricas presentan procesos de verificación de la identidad basados en características físicas (cara, huellas digitales) o de comportamiento (registro vocal, firma a mano alzada). Primero estas características (como ser el registro vocal) son capturadas e ingresadas al sistema, asociadas a cada usuario respectivo. Luego, en el momento de la verificación, la autenticación se produce por la comparación del patrón almacenado y el registro realizado por el usuario que requiere el acceso. Esta técnica ha evolucionado mucho, llegando a ser muy exactas, y a precios razonables (por ejemplo un lector de huellas digitales oscila en el mercado entre los U$S150 y U$S200). La siguiente tabla detalla las técnicas utilizadas y sus respectivas ventajas y desventajas. TÉCNICA VENTAJAS DESVENTAJAS Reconocimiento de cara Fácil, rápido y barato La iluminación puede alterar la autenticación Lectura de huella digital Barato y muy seguro Posibilidad de burla por medio de réplicas, cortes o lastimaduras pueden alterar la autenticación Lectura de iris/retina Muy seguro Intrusivo (molesto para el usuario) Lectura de la palma de la mano Poca necesidad de memoria de almacenamiento de los patrones Lento y no muy seguro Reconocimiento de la firma Barato Puede ser alterado por el estado emocional de la persona Reconocimiento de la voz Barato, útil para accesos remotos Lento, puede ser alterado por el estado emocional de la persona, fácilmente reproducible b) Autorización Autorización es el proceso de determinar qué, cómo y cuándo, un usuario autenticado puede utilizar los recursos de la empresa. El mecanismo o el grado de autorización puede variar dependiendo de que sea lo que se este protegiendo. Cuando vimos clasificación de los datos establecimos distintos niveles para los mismos, así puede determinarse que para acceder a los datos de cada nivel debe contarse con autorización de cierto nivel jerárquico. 6
Las autorizaciones pueden hacerse efectivas por medio de una firma en un formulario o por medio del ingreso de una contraseña específica en el sistema, sí es importante que quede registrada para ser controlada posteriormente. Al nivel de datos, las autorizaciones son instrumentadas de manera de asegurar la confidencialidad e integridad, así sea otorgando o denegando el acceso a la posibilidad de leer, modificar, crear o borrar los mismos. La autorización debe ser otorgada siempre de acuerdo a la necesidad de saber, o sea el acceso a cierto recurso se le otorgará al usuario si es indispensable para la realización de su trabajo, y si no se le negará. Es posible otorgar autorizaciones transitorias o modificar las anteriormente otorgadas a medida que las necesidades de ese usuario varíen. c) Administración La administración incluye los procesos de definir, mantener y eliminar las autorizaciones de los usuarios del sistema, los recursos del sistema y las relaciones usuarios-recursos del sistema. Los administradores son responsables de transformar las políticas de la organización y las autorizaciones otorgadas a un formato que pueda ser usado por el sistema. Esta administración de la seguridad es un esfuerzo constante porque los negocios se encuentran en permanente cambio dentro de la empresa, lo que repercute en sus sistemas y usuarios. Cada uno de los sistemas operativos de redes conocidos (Windows NT, Novell) cuenta con un módulo de administración de seguridad, pero igualmente existe software específico para realizar esta tarea. d) Auditoría y registración Llamamos auditoría al proceso de recolectar información y analizarla, que permite a los administradores u otros especialistas verificar que las técnicas de autenticación y autorización empleadas se realizan según lo establecido y se cumplen los objetivos fijados por la empresa. Registrar es el mecanismo por el cual cualquier intento de violar las reglas de seguridad establecidas queda asentado en una base de eventos que permite su posterior análisis. Monitorear la información registrada o auditar, se puede realizar mediante medios manuales o automáticos, y con una periodicidad acorde a la criticidad de la información protegida y al nivel de riesgo. Es evidente que el hecho de registrar los eventos, por sí solo, no brinda ninguna utilidad. Los registros pueden ser usados por más de una persona, para realizar chequeos de rutina o para constatar hechos individuales, entre los que podemos citar administradores, auditores internos y externos, consultores y gobierno. e) Mantenimiento de la Integridad Mantener la información íntegra refiere a los procedimientos establecidos para evitar o controlar que los archivos permanezcan sin sufrir cambios no autorizados y que la información enviada desde un punto llegue a destino inalterada. El mantenimiento de la integridad también involucra la prevención de cambios accidentales, lo cual generalmente se maneja por medio de códigos de manejo de errores. Dentro de las técnicas más utilizadas para mantener (o controlar) la integridad de los datos, podemos citar: uso de antivirus, encriptación y funciones hash. La primera ya es muy conocida, por lo tanto no ampliaremos el concepto. Sí lo haremos con las otras dos técnicas, lo cual una vez entendidas, nos permitirá explicar el concepto de firma digital. 7
Encriptación La criptografía es una ciencia que brinda distintas técnicas capaces de transformar datos legibles en datos no legibles, y viceversa, por medio de funciones matemáticas (algoritmos). El objetivo de convertir datos legibles en inteligibles, es prevenir ante la posibilidad que una persona no autorizada acceda a los mismo, no sea capaz de entender su significado. Estos algoritmos transforman texto plano en un código equivalente (llamado texto cifrado), para transmisiones o almacenamiento de datos, utilizando una clave. Luego, este texto cifrado puede ser transformado a texto plano otra vez aplicando el mismo algoritmo y una clave. Existen dos tipos de encriptación: los simétricos (utilizan la misma clave para encriptar y para desencriptar) y los asimétricos (los cuales utilizan dos claves distintas). La robustez (capacidad de no ser burlado) del método se establece por el algoritmo utilizado y por el largo de la clave. En general, se dice que cuanto más grande la clave más seguro será. Esto es un error porque se depende del algoritmo utilizado, existen algoritmo que son más seguros cuanto más chica es la clave. Por más que se utilizan funciones aritmética muy complejas, el avance de la tecnología ha permitido que sea más fácil poder romper los códigos cifrados (o sea interpretar el mensaje original). Para lograr este fin, los hackers utilizan dos técnicas: ataque por diccionario o por fuerza bruta. En el primero se utiliza un método deductivo, tratando de encontrar patrones sobre la base de palabras en cualquier idioma, mientras que en el segundo simplemente se prueban distintas combinaciones de caracteres hasta encontrar lo deseado. Para terminar hablaremos de los algoritmos de clave pública (sistema de criptografía asimétrico). El mismo se basa en dos claves: una pública y una privada, la pública es conocida y se utiliza para encriptar los mensajes y la privada es solamente conocida por el usuario que la utiliza para desencriptarlo. Este mecanismo evita la administración de un gran número de claves secretas necesaria para los algoritmos simétricos, pero requiere un proceso para asegurar que las claves públicas son auténticas y pertenecen al usuario correspondiente. Así, nacen las compañías certificadoras, las cuales se encargan de certificar que una clave pertenece a tal o cual usuario y de distribuir las mismas. Funciones hash Una función hash es una función matemática compleja unidireccional que aplicada a un conjunto de caracteres de cualquier longitud obtiene un pequeño resultado, de largo fijo, y cualquier cambio al conjunto de caracteres origen, producirá un cambio en el resultado. Se estima que para lograr otro conjunto de caracteres distinto del anterior, que genere el mismo resultado, se requiere más esfuerzo que el que es capaz cualquier persona o computadora. Mediante estas funciones puedo controlar que mi información no haya sido alterada, por error o intencionalmente, durante una transmisión o durante el período que permaneció almacenada. Simplemente debo calcular el resultado de la función hash en el momento cero, y compararlo con el resultante de aplicar la misma función en otro momento, para asegurarme que la información se mantiene íntegra. 8
Firma Digital Hemos dejado para el final el tema de firmas digitales a propósito, debido a varios motivos. Entre ellos están: - el hecho de entender los conceptos anteriormente vertido facilitará la comprensión de este concepto. - está técnica es utilizada tanto para autenticación como para el mantenimiento de la integridad y la auditoría (sin olvidar que puede avalar la asignación de determinada autorización) - el auge de la técnica a nivel mundial y local (en la actual ley de urgencia se acaba de incorporar una ley al respecto). A continuación se explica cómo funciona la firma digital. Paso 1: Bob quiere mandar un mensaje firmado a Alice. Lo primero que debe hacer es escribir el mensaje, y luego procede a firmarlo. El proceso de firmar incluye dos pasos: - se calcula el resultado de aplicar una función hash al mensaje, lo cual se llamará digest - el digest se encripta con la clave privada de Bob, y se adjunta al mensaje original. El resultado del proceso es el mensaje más la firma. Paso 2 El mensaje más la firma se encriptan para ser enviados. La encriptación puede ser realizado de dos maneras: - con una clave de una única vez, si se usa un algoritmo simétrico (esta clave debe ser comunicada al receptor por otra vía para poder desencriptarlo) - con la clave pública de destinatario, si se utiliza un algoritmo asimétrico. Al resultado de esta operación simplemente resta enviarlo al destinatario. 9
Paso 3 Alice recibe el mensaje de Bob Dependiendo de cómo se encriptó procederá a: - desencriptarlo con la clave de única vez - desencriptarlo con la clave privada de Alice. El resultado obtenido es el mensaje y la firma digital. 10
Paso 4 Resta verificar que realmente el mensaje fue firmado por Bob. Para esto debemos: - desencriptar la firma con la clave pública de Bob, obteniendo el digest - calcularle al mensaje recibido (mediante la misma función hash que utilizó Bob) el digest Una vez terminadas las acciones anteriores, simplemente compararemos los resultado obtenidos y de esa manera, en caso de ser iguales, verificaremos la identidad del emisor. Para terminar y a manera de resumen diremos que las firmas digitales desarrolladas de la manera que hemos visto proveen la misma seguridad que las firmas sobre papel tradicionales: Autenticación: la garantía de que un mensaje proviene de la persona que dice haberlo enviado. Integridad: la prueba de que los contenidos de un mensaje no han sido alterados, deliberada o accidentalmente, durante la transmisión. No-Repudio: la certeza de saber que el remitente del mensaje no puede más tarde negar haberlo enviado. Confidencialidad: la evidencia de que el contenido del mensaje no ha sido revelado a terceras partes. 11