Seguridad Física

1. Seguridad Física L.I. Ivette Jiménez Martínez

2. ¿Conectado o desconectado? No podemos aceptar esa afirmación cómica que dice que el computador más seguro ... ... es aquel que está apagado y, por tanto, desconectado de la red Tendremos que aplicar políticas, metodologías y técnicas de protección de la información

3. ¿Hay conciencia de las debilidades? Las habrá tanto internas como externas Amenazas La seguridad informática se convierte en un nuevo motivo de preocupación A finales del siglo XX las empresas, organismos y particulares comienzan a tener verdadera conciencia de su importancia

4. Acontecimientos en dos últimas décadas • A partir de los años 80 el uso de las computadoras personales comienza a ser común. Asoma ya la preocupación por la integridad de los datos. • En la década de los años 90 proliferan los ataques a sistemas informáticos, aparecen los virus y se toma conciencia del peligro que nos acecha como usuarios de PCs y equipos conectados a Internet. • Las amenazas se generalizan a finales de los 90. • En este siglo, los acontecimientos fuerzan a que se tome en serio la seguridad informática.

5. ¿Qué hay de nuevo? • Principalmente por el uso de Internet, el tema de la protección de la información se transforma en una necesidad y con ello se populariza la terminología técnica asociada a la criptología: • Cifrado, descifrado, criptoanálisis, firma digital. • Autoridades de Certificación, comercio electrónico. • Ya no sólo se transmiten estas enseñanzas en las universidades. El usuario final desea saber, por ejemplo, qué significa firmar un e-mail. • Productos futuros: Seguridad añadida

6. La criptografía es más o menos esto Rama inicial de las Matemáticas y en la actualidad de la Informática y la Telemática, que hace uso de métodos y técnicas con el objeto principal de cifrar y/o proteger un mensaje o archivo por medio de un algoritmo, usando una o más claves. Esto da lugar a diferentes tipos de sistemas de cifra que permiten asegurar estos cuatro aspectos de la seguridad informática: la confidencialidad, la integridad, la disponibilidad y el no repudio de emisor y receptor. He aquí una definición menos afortunada de criptografía que podemos encontrar en el diccionario de la Real Academia Española

7. Criptografía “Arte de escribir mensajes con una clave secreta o de modo enigmático”…  Desde el punto de vista de la ingeniería y la informática, es difícil encontrar una definición menos apropiada  • Hoy ya no es un arte sino una ciencia. • No sólo se protegen mensajes que se escriben, sino archivos y documentos que se generan. • Muchos sistemas usan dos claves: secreta y pública.

8. El término apropiado es cifrar Cifra o cifrado: Técnica que, en general, protege o autentifica a un documento o usuario al aplicar un algoritmo criptográfico. Sin conocer una clave específica o secreto, no será posible descifrarlo o recuperarlo. Encontraremos muchas situaciones parecidas a ésta. Por ejemplo, podemos ver en algunos documentos las palabras autenticación, securizar y otras parecidas que, a la fecha, no están recogidas en el diccionario de la Real Academia Española. Peor aún, no podemos encontrar en ese diccionario palabras tan comunes como factorizar, primalidad, criptólogo, criptógrafo, criptoanálisis, etc.

9. ¿Es el delito informático atractivo? • El delito informático parece ser un buen negocio: • Objeto Pequeño: la información está almacenada en contenedores pequeños: no es necesario un camión para robar un banco, llevarse las joyas, el dinero, etc.

10. ¿Es el delito informático atractivo? • Contacto Físico: no existe contacto físico en la mayoría de los casos. Se asegura el anonimato y la integridad física del propio delincuente. • Alto Valor: el objeto codiciado tiene un alto valor. El contenido (los datos) puede valer mucho más que el soporte que los almacena: computadora, disquete, etc. • La solución: uso de técnicas criptográficas.

11. Seguridad Física vs. Seguridad Lógica • El estudio de la seguridad informática podemos plantearlo desde dos enfoques: • Seguridad Física: protección del sistema ante las amenazas físicas, planes de contingencia, control de acceso físico, políticas de seguridad, normativas, etc.

12. Seguridad Física vs. Seguridad Lógica • Seguridad Lógica: protección de la información en su propio medio mediante el enmascaramiento de la misma usando técnicas de criptografía. • Esta clasificación en la práctica no es tan rigurosa.

13. Public Key Infrastructure • Hardware + Software + Políticas y Procedimientos de Seguridad que permiten la ejecución con garantías de operaciones criptográficas como el cifrado, la firma digital o el no repudio de transacciones electrónicas.

14. Public Key Infrastructure • Características de PKI: • Autenticación de usuarios y sistemas (login) • Identificación del interlocutor • Cifrado de datos digitales • Firmado digital de datos (documentos, software) • Asegurar las comunicaciones • Garantía de no repudio (negar que cierta transacción tuvo lugar)

15. Certificados Digitales

16. Certificados Digitales • Existen diferentes tipos de certificado digital, en función de la información que contiene cada uno y a nombre de quién se emite el certificado: • Certificado personal, que acredita la identidad del titular. • Certificado de pertenencia a empresa, que además de la identidad del titular acredita su vinculación con la entidad para la que trabaja.

17. Certificados Digitales • Certificado de representante, que además de la pertenencia a empresa acredita también los poderes de representación que el titular tiene sobre la misma. • Certificado de persona jurídica, que identifica una empresa o sociedad como tal a la hora de realizar trámites ante las administraciones o instituciones.

18. Certificados Digitales • Certificado de atributo, el cual permite identificar una cualidad, estado o situación. Asociado al certificado personal. (p.ej. Médico, Director, Casado, Apoderado de…). • Certificado de servidor seguro, utilizado en los servidores web que quieren proteger ante terceros el intercambio de información con los usuarios. • Certificado de firma de código, para garantizar la autoría y la no modificación del código de aplicaciones informáticas

19. Confiabilidad de un Certificado Digital • La confiabilidad de un Certificado depende de: • La credibilidad de quien lo emite, es decir de la entidad de certificación. • El método y los recursos utilizados para su emisión: soporte, identificación, seguridad, etc. • Del ámbito de reconocimiento de este certificado.

20. Firma Digital • El concepto de firma digital nació como una oferta tecnológica para acercar la operatoria social usual de la firma ológrafa (manuscrita) al marco de lo que se ha dado en llamar el ciberespacio o el trabajo en redes.

21. Firma Digital • Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación.

22. Firma Digital

23. Firma Digital • El fin, de la firma digital, es el mismo de la firma ológrafa: dar asentimiento y compromiso con el documento firmado; y es por eso que a través de la legislación, se intenta acercarla, exigiéndose ciertos requisitos de validez.

24. Atributos de la Firma Digital • Es única • Es verificable • Está bajo control exclusivo del iniciador • Está ligada a la información del mensaje • Está de acuerdo con la reglamentación

25. Principios de la Seguridad Informática • El del acceso más fácil. • El de la caducidad del secreto. • El de la eficiencia de las medidas tomadas. • Tras los acontecimientos del 11 de septiembre de 2001, que de alguna forma ha hecho a la gente pensar en las debilidades de los sistemas, vale la pena tenerlos muy en cuenta. Deberíamos aprender la lección 

26. 1er Principio de la Seguridad Informática PREGUNTA: ¿Cuáles son los puntos débiles de un sistema informático? • “El intruso al sistema utilizará cualquier artilugio que haga más fácil su acceso y posterior ataque”. • Existirá una diversidad de frentes desde los que puede producirse un ataque. • Esto dificulta el análisis de riesgos porque el delincuente aplica la filosofía de ataque hacia el punto más débil.

27. 2º Principio de la Seguridad Informática • “Los datos confidenciales deben protegerse sólo hasta ese secreto pierda su valor”. • Se habla, por tanto, de la caducidad del sistema de protección: tiempo en el que debe mantenerse la confidencialidad o secreto del dato. • Esto nos llevará a la fortaleza del sistema de cifra. PREGUNTA: ¿Cuánto tiempo deberá protegerse un dato?

28. 3er Principio de la Seguridad Informática • Las medidas de control se implementan para ser utilizadas de forma efectiva. • Deben ser eficientes, fáciles de usar y apropiadas al medio. • Que funcionen en el momento oportuno. • Que lo hagan optimizando los recursos del sistema. • Que pasen desapercibidas para el usuario.

29. 3er Principio de la Seguridad Informática Y lo más importante: ningún sistema de control resulta efectivo hasta que es utilizado al surgir la necesidad de aplicarlo. Este es uno de los grandes problemas de la Seguridad Informática. S.I. Medidas de control

30. Debilidades del sistema informático Los tres primeros puntos conforman el llamado Triángulo de Debilidades del Sistema: • Hardware: pueden producirse errores intermitentes, conexiones suelta, desconexión de tarjetas, etc. • Software: puede producirse la sustracción de programas, ejecución errónea, modificación, defectos en llamadas al sistema, etc. • Datos: puede producirse la alteración de contenidos, introducción de datos falsos, manipulación fraudulenta de datos, etc. HARDWARE - SOFTWARE - DATOS MEMORIA - USUARIOS

31. Debilidades del sistema informático • Memoria: puede producirse la introducción de un virus, mal uso de la gestión de memoria, bloqueo del sistema, etc. • Usuarios: puede producirse la suplantación de identidad, el acceso no autorizado, visualización de datos confidenciales, etc.

32. Debilidades del sistema informático • Es muy difícil diseñar un plan que contemple minimizar de forma eficiente todos estos aspectos negativos. • Debido al Principio de Acceso más Fácil, no se deberá descuidar ninguno de los cinco elementos susceptibles de ataque del sistema informático.

33. Amenazas del sistema • Las amenazas afectan principalmente al Hardware, al Software y a los Datos. • Éstas se deben a fenómenos de: • Interrupción • Interceptación • Modificación • Generación

34. Amenazas de Interrupción • Se daña, pierde o deja de funcionar un punto del sistema. • Su detección es inmediata. Interrupción Intruso Ejemplos: Destrucción del hardware. Borrado de programas, datos. Fallos en el sistema operativo.

35. Amenazas de Interceptación • Acceso a la información por parte de personas no autorizadas. Uso de privilegios no adquiridos. • Su detección es difícil, a veces no deja huellas. Interceptación Intruso Ejemplos: Copias ilícitas de programas. Escucha en línea de datos.

36. Amenazas de Modificación • Acceso no autorizado que cambia el entorno para su beneficio. • Su detección es difícil según las circunstancias. Modificación Intruso Ejemplos: Modificación de bases de datos. Modificación de elementos del HW.

37. Amenazas de generación • Creación de nuevos objetos dentro del sistema. • Su detección es difícil: delitos de falsificación. Generación Intruso Ejemplos: Añadir transacciones en red. Añadir registros en base de datos.

38. El Triángulo de Debilidades InterrupciónInterceptaciónModificaciónGeneración (pérdida) (acceso) (cambio) (alteración) DATOS HW SW Interrupción (denegar servicio) Modificación (falsificación) Interceptación (robo) Interrupción (borrado) Interceptación (copia) Ejemplos de ataques Los datos serán la parte más vulnerable del sistema.

39. Ataques Característicos • Hardware: • Agua, fuego, electricidad, polvo, cigarrillos, comida. • Software: • Además de algunos de hardware, borrados accidentales o intencionados, estática, fallos de líneas de programa, bombas lógicas, robo, copias ilegales.

40. Ataques Característicos • Datos: • Tiene los mismos puntos débiles que el software. • Pero hay dos problemas añadidos: no tienen valor intrínseco pero sí su interpretación y, por otra parte, algunos datos pueden ser de carácter público.

41. Confidencialidad, Integridad, Disponibilidad

42. Confidencialidad, Integridad, Disponibilidad • Confidencialidad • Los componentes del sistema serán accesibles sólo por aquellos usuarios autorizados. • Integridad • Los componentes del sistema sólo pueden ser creados y modificados por los usuarios autorizados.

43. Confidencialidad, Integridad, Disponibilidad • Disponibilidad • Los usuarios deben tener disponibles todos los componentes del sistema cuando así lo deseen.

44. No repudio de Origen y Destino • No Repudio • Está asociado a la aceptación de un protocolo de comunicación entre emisor y receptor (cliente y servidor) normalmente a través del intercambio de sendos certificados digitales de autenticación. • Se habla entonces de No Repudio de Origen y No Repudio de Destino, forzando a que se cumplan todas las operaciones por ambas partes en una comunicación.

45. DATOS DATOS DATOS Datos seguros Si se cumplen estos principios, diremos en general que los datos están protegidos y seguros. Confidencialidad Integridad Disponibilidad DATOS Datos Seguros

46. Teoría de la Información • El estudio hecho por Claude Shannon en años posteriores a la 2ª Guerra Mundial ha permitido: • Cuantificar la cantidad de información. • Medir la entropía de la información. • Definir un sistema con secreto perfecto. • Calcular la redundancia y ratio del lenguaje. • Encontrar la distancia de unicidad.

47. La Información en la Empresa • Todo el conjunto de datos y archivos de la empresa. • Todos los mensajes intercambiados. • Todo el historial de clientes y proveedores. • Todo el historial de productos, ... etc. • En definitiva, el know-how de la organización.

48. La Información en la Empresa Si esta información se pierde o deteriora, le será muy difícil a la empresa recuperarse y seguir siendo competitiva Políticas de seguridad.

49. Importancia de la información El éxito de una empresa dependerá de la calidad de la información que genera y gestiona. Así, una empresa tendrá una información de calidad si ésta permite, entre otras características, la confidencialidad, la integridad y disponibilidad.

50. Importancia de la información La implantación de una política y medidas de seguridad informática en la empresa comienza a tenerse en cuenta sólo a finales de la década pasada. En este nuevo siglo es un factor estratégico en el desarrollo y vida de la misma. Tras los acontecimientos en las torres gemelas del año 2001, varias empresas han desaparecido por haber perdido toda su información. Es una señal de peligro y un aviso.