Seguridad 1

Seguridad Informtica
DR. JOS DE JESS VZQUEZ GMEZ

jjvazquez@itesm.mx
Agosto 2014. Seguridad Informtica
Objetivo del Curso

2
Que el alumno comprenda los principales elementos
que constituyen la seguridad informtica y la forma

en que estos se interrelacionan para conformar una
estrategia de proteccin de la informacin de una
organizacin.
Al finalizar el curso, el alumno tendr una visin
global de los riesgos de seguridad actuales que pesan

sobre las tecnologas de informacin, as como de las
mejores prcticas de seguridad informtica para
administrar estos riesgos.
Temas del Curso

3
1.
2.
3.
4.
5.
6.
7.
Introduccin a la seguridad informtica.

Polticas de seguridad.
Criptologa.
Seguridad en aplicaciones.
Seguridad en redes
Prevencin y respuesta a incidentes.
Legislacin.
Polticas de Evaluacin
4
30% Evaluaciones
2 Evaluaciones de 15% cada una
45% Actividades de teora y Laboratorio
Laboratorio 10% por cada uno de los 3 primeros meses.
Teora 5% por cada uno de los 3 primeros meses
15% Proyecto final
10% Evaluacin final
Trabajo en equipo
5
Las actividades, tericas y de laboratorio, y el proyecto
final sern realizados y reportados en equipo (a menos

de que el profesor lo indique de forma diferente,
explcitamente).
Los equipos estarn formados de 4 personas,
determinados por el profesor.
Una vez conformado el equipo, no habr cambios.
Las evaluaciones son individuales.
Trabajo en equipo
6
Una vez conformados los equipos, se enviar un correo
con las siguientes caractersticas:
Se enviar a la cuenta del profesor:
jjvazquez@itesm.mx
Slo se enviar un correo por equipo, por lo que se debe

nombrar un jefe de equipo.
Todos los miembros debern estar en ccp: con la cuenta(s) de
correo que usan habitualmente.
Las iniciales del curso SI debern estar en el campo de
asunto, seguidos de un nombre del equipo.
SI:
Equipo XYZ
Trabajo en equipo
7
Para la entrega de los reportes, por parte del jefe del quipo se
deber enlistar en el contenido:
Nombre completo cada miembro con su matrcula
Si se omite algn nombre, se asumir que no particip en la actividad
referida o no asisti, por ejemplo al laboratorio.
Descripcin de la actividad a realizar.
Documentacin del desarrollo de la actividad.
Conclusin
Referencias
Noticias semanales
8
Todos los equipos (y para cada clase) investigarn una noticia
relevante sobre el tema a revisar en dicha sesin. La noticia

deber ser reciente (no mayor a 1 mes de su publicacin).
En cada clase uno o varios equipos al azar compartirn su
noticia con el grupo.
El reporte ser verbal explicado con sus propias palabras.
El reporte por escrito ser enviado al correo electrnico del
profesor como fue descrito anteriormente.
Mtodo de aprendizaje
9
La materia cuenta con actividades prcticas y teora.

Cada equipo deber contar en cada sesin de
laboratorio con al menos con una computadora

porttil con software para correr mquinas virtuales
(por ejemplo VM Ware) con sistemas operativos:
Windows, Linux
NOTA: Si hubiera informacin importante en esta computadora, es
responsabilidad del propietario de contar con respaldos de su

informacin y la capacidad de reinstalarla adecuadamente, en caso
de que en alguna prctica, por el carcter de lo que se instala,
pudiera haber algn fallo.
Herramientas de seguridad
10
Durante todo el semestre se requerir el uso de
herramientas como las conjuntadas en Back Track
http://www.backtrack-linux.org/
O Kali
Tambin se pueden emplear las herramientas obtenidas
directamente de sus sitios originales.
Ms informacin
11
No hay libro de texto, el profesor dar mltiples ligas
durante las clases.

Consultar bibliografa recomendada.
Libros de consulta
12
C. Pfleeger and S. Pfleeger. Security in Computing.

Prentice Hall, 4th ed, 2007.
Stallings, W. Network and Internetwork Security,

Prentice Hall, 1995
Peltier, Thomas R. Information Security Risk Analysis,

Auerbach, 2001.
Matt Bishop, Introduction to Computer Security,

Addison Wesley Professional, 2005.
Matt Bishop, Computer Security: Art and Science,

Addison Wesley, 2002.
Cdigo de tica (ALAPSI)

13
Desarrollar todas mis actividades profesionales y conducta conforme a la ley

y a los ms altos principios ticos.
Promover buenas prcticas y conceptos de seguridad informtica.
Mantener la confidencialidad de toda la informacin propietaria o sensitiva
con la que tenga contacto en el curso de mis actividades profesionales.
Desempear mis actividades profesionales con diligencia y honestidad.
Abstenerme de participar en cualquier actividad que d o pueda dar lugar
a conflictos de inters o que puedan daar la reputacin del ITESM o la
profesin de seguridad informtica, y
No daar, atacar o poner en duda intencionalmente la reputacin o
ejercicio profesional de colegas, clientes o empleadores.
Nota final
14
La interpretacin de los temas tratados en esta

presentacin slo reflejan la percepcin del
autor, la responsabilidad de los contenidos
presentados es exclusivamente de l; en ningn
momento estos contenidos reflejan la
percepcin o los intereses de la Institucin para
la que l labora.
1. Introduccin a la
15
INFORMACIN Y RIESGOS
Problemas Comunes
16
Virus
Robos de equipos porttiles
Abuso de privilegios por internos
Acceso ilegal a documentos
Negacin (distribuida) de servicio
Bots
Penetracin de sistemas
Acceso ilegal por redes inalmbricas
Fraude financiero
Web defacement
Fuente: Encuesta anual

2010 del CSI
www.gocsi.com
Hackers y Seguridad Informtica

17
Originalmente se llamaba hacker a aquella persona
que conoca perfectamente los sistemas de cmputo.
Un hacker no era precisamente una persona maliciosa.

La connotacin del trmino hacker ha cambiado con
el tiempo y actualmente se asocia con las personas que

hacen dao a los sistemas computacionales.

18
En general un hacker es una persona altamente
motivada
para
encontrar
explotar
alguna
vulnerabilidad informtica en la vctima y adems

cuenta con el tiempo suficiente para hacerlo.

19
Pioneros del Hacking:

Las primeras redes sujetas al hacking fueron las telefnicas.
El Gusano de Internet:
El primer gran evento de seguridad en Internet ocurri en
1988: The Morris Worm.
Caus la cada de 6,200 servidores con daos por casi 100
millones USD.
Al final se logr detener tanto al gusano como al culpable.
A partir de este hecho se cre el CERT:
http://www.cert.org/

20
The Cuckoos Egg

Clifford Stoll
Astrnomo-administrador
de
redes que detect una red de
espionaje alemn en 1989.
Relat dicha historia en el
best-seller The Cuckoos Egg.
10

21
Kevin Mitnick
Quiz uno de los hacker ms conocidos.
Inici como phreaker en los aos 70s y fue arrestado a los 17
aos.
En 1989 fue nuevamente arrestado por penetrar en sistemas
de la compaa DEC.
Rompi su libertad condicional y hasta 1995 Tsutomu
Shimomura (otro gran Hacker) lo re-captur.
Hasta el 2003 no pudo utilizar computadoras ni celulares sin
previa autorizacin.

22
Black Hat
Hackers
Gray Hat
Hackers
White Hat
Hackers
(crakers)
Script kiddies
11
Serge Humpich
Robert Morris
Tsutomu Shimomura
23

24
Clasificacin por organizacin
12
El arte del hacking

25
El hacking es un arte: no existe una receta para hacer
intrusiones a los sistemas.

Sin embargo, se han venido creando metodologas que
han demostrado ser efectivas, ganando popularidad,
incluso creando certificaciones acerca de ellas.
El Arte del Hacking

26
No existe una metodologa nica para llevar a cabo una
intrusin:
Diferentes defensas perimetrales

Diferentes versiones de sistema operativo
Diferentes niveles de parchado
Diferentes aplicaciones
Diferentes culturas organizacionales
13
El Arte del Hacking

27
Paso 1: El primero paso siempre es recolectar la mayor
informacin posible de la vctima.
Un ataque por ingeniera social puede ser exitoso por s mismo.

Si se utiliza junto con un ataque tcnico, la probabilidad de xito
es casi total.
Googlear
Actividades 1, 2 y 3
28
Realizar la investigacin silenciosa indicada por el

profesor. Investigue en que consiste el google hacking
2. En el laboratorio estudie el uso de la herramienta
nmap. Reporte los 10 comandos que considere ms
tiles en esta herramienta y cmo los prob en
laboratorio.
3. Deteccin de vulnerabilidades (Nessus). En el
laboratorio estudie el uso de la herramienta Nessus.
Reporte los 10 parmetros que considere ms tiles
en esta herramienta y cmo los prob en
laboratorio.
1.
14
Metodologa del Hacking

29
Paso 2: Bsqueda de informacin tcnica

Barrido de puertos de entrada (Por ejemplo con Nmap)
Paso 3: Exploracin de vulnerabilidades
Analizadores de vulnerabilidades (Por ejemplo Nessus)
Paso 4: Ganar acceso
Exploits difundidos ampliamente en Internet
Paso 5: Escalamiento de privilegios
Exploits difundidos ampliamente en Internet
Metodologa del Hacking

30
Paso 6: Encubrimiento de pistas

Eliminacin de huellas
Paso 7: Creacin de puertas traseras
Facilidad de volver a ingresar al sistema
15
Ataques tradicionales
31
Actualmente la mayora de las organizaciones
mantienen un buen nivel de proteccin en el

permetro, aunque proteger siempre es mucho ms
complicado que atacar.
Los ataques desconocidos son prcticamente
indetectables, lo que dificulta ms el estructurar
estrategias de proteccin.
Ataques tradicionales
32
La Negacin de Servicio (conocida como DoS por su
nombre en ingls) es un ataque que se ejecuta para

evitar que un sistema est disponible.
Generalmente se ejecuta cuando un sistema no puede
ser penetrado exitosamente.
Cuando es un ataque distribuido (DDoS) pocas o nulas
son las defensas.
16
Tendencia actual del Hacking

33
Hoy en da la tendencia es atacar una computadora
dentro de la organizacin.
Por ejemplo, ataque a usuarios que navegan en sitios

comprometidos o que descargan sin precaucin software de
internet, etc.
Desde la computadora comprometida se atacan otros
sistemas (sin romper la barrera perimetral).

Generalmente se dejan puertas traseras para hacer el
ataque persistente (ADT, Advanced Persistent
Threat)
HUM
34
Acrnimo de:
Home made: Programa hecho en casa que se puede generar en
un computador domstico.
Undetectable: Indetectable en los antivirus comunes debido a
que aplican tcnicas de ofuscacin de datos.
Malware: Cdigo malicioso mediante el cual un atacante se
puede apoderar de una computadora.
17
Home made
35
Dos herramientas gratuitas son bsicas para generar
estos ataques:
SET (Social Engineering toolkit)

Metasploit
Ambos programas estn disponibles en la distribucin de
linux BackTrack.
Undetectable
36
HUM hace uso de tcnicas de ofuscacin de datos para
esconderlo a la revisin de los antivirus.
Ejemplo: cifrado propio, metamorfismo, intrusin, intercepcin, etc.
La mayora de los antivirus trabajan a base de firmas
conocidas, esto es, solo detectan o bloquean lo que

conocen.
Si el ataque es da cero, el antivirus poco o nada podr hacer

para detectar este ataque.
18
Malware
37
El cdigo malicioso resultante puede configurarse para:

Abrir un canal de regreso al atacante mediante un puerto de
comunicacin predefinido.
Ejecutar automticamente una accin.
A esta configuracin se le conoce como payload.
2. Polticas de Seguridad
38
PROCESO DE PROTECCIN Y TRIADA DE

SEGURIDAD
AMENAZAS Y VULNERABILIDADES
ANLISIS DE RIESGO
ARQUITECTURA DE SEGURIDAD
19
El Proceso de Proteccin
Definir lineamientos de buen
uso de recursos
informticos
Identificar responsables
Identificar puntos crticos de
TI
Identificar vulnerabilidades y
amenazas
Polticas
Riesgos
Asesora
Difusin
Capacitacin
Seleccionar y aplicar
medidas y tecnologas de
proteccin y deteccin
Implementacin Definir procedimientos
de administracin
Auditoria
Auto-evaluaciones
Evaluaciones externas
Administracin
39
Aplicar procedimientos para

minimizar riesgos
Coordinar planes de contingencia
Concientizar a usuarios
Definicin de Seguridad Informtica

40
Disciplina que busca proteger la informacin ante
eventos adversos
Se basa en 3 propiedades bsicas:
Integridad
Disponibilidad
Confidencialidad
20
Triada de la Seguridad
41
Confidencialidad:
La informacin slo es revelada a los individuos o procesos
autorizados. Intenta prevenir la revelacin no autorizada (intencional
o accidental) de la informacin.
Integridad:
La informacin no debe ser modificada de manera accidental o
maliciosa. Intenta asegurar que no se hagan modificaciones a la
informacin por parte de personal/proceso no autorizado.
Disponibilidad
Los recursos de informacin son accesibles cuando un usuario
autorizado lo requiere. Intenta asegurar que el acceso a la
informacin o recursos computacionales sea oportuno y confiable.
Otros principios
42
Autenticacin
Comprobar que alguien es quien dice ser.
Autenticidad
Probar la originalidad
Privacidad
Tener control sobre los datos personales que alguien confiere
No repudiacin
No poder negar que alguien hizo algo.
21
Amenazas y Vulnerabilidades
43
Amenaza:
Algo que puede causar dao.
Evento/Actividad que tiene el potencial de causar dao.
Vulnerabilidad:
Debilidad, falla o carencia de proteccin que puede ser
explotada por una amenaza.
Riesgo:
Probabilidad de que una amenaza explote una
vulnerabilidad.
Incidente:
Es un riesgo materializado.
Clasificacin de Amenazas
44
Naturales
Fuego, inundacin, terremotos, etc.
Humanas
Accidentales
Negligencia, ignorancia
Intencionales
Vandalismo, espionaje, terrorismo
22
45
Las vulnerabilidades se pueden tratar de eliminar, mas
no as las amenazas; nunca podremos estar 100% libres

de amenazas.
Por lo tanto:
Siempre existe la probabilidad de ser
atacado exitosamente.
Administracin del Riesgo

46
El riesgo se puede:
Mitigar
Aceptar
Transferir
Evitar
23
Anlisis de riesgos
47
Al estudio que valora los riesgos a los que se enfrenta un
objeto de inters se le conoce como Anlisis de

Riesgo
Ventajas del anlisis de riesgo:
Descubre las amenazas ms dainas

Identifica las vulnerabilidades de seguridad explotables
Permite dar prioridades y planificar
Da lugar al anlisis costo/beneficio
Algunas Metodologas
48
FRAP (Facilitated Risk Analysis Process)
MAGERIT (Metodologa de Anlisis y Gestin de Riesgos
de los Sistemas de Informacin)

ISO 27005 (Anlisis de Riesgo conforme al estndar ISO
27001)
OCTAVE (de CMU)
24
Probabilidad o posibilidad vs. Impacto

49
Posibilidad
del riesgo
Alta
De alta prioridad
Molesto
Aceptable
Preocupante
Baja
Bajo
Alto
Impacto
Anlisis de riesgos informticos

50
Es parte fundamental en la administracin de la

seguridad.
Entre los beneficios que genera:
Identifica
los puntos ms dbiles de la infraestructura de TI

que da soporte a los procesos crticos de la organizacin.
Gua la seleccin de medidas de proteccin de costo
adecuado.
Determina dnde es necesario contar con esquemas de
recuperacin de desastres y continuidad de negocio.
Permite realizar polticas de seguridad mejor adaptadas a
las necesidades de la organizacin.
25
Tipos de anlisis de riesgos

51
Cuantitativo
Enfocado a determinar valores numricos (generalmente
monetarios) a los componentes objeto del anlisis, as como
al nivel de posibles prdidas.
Los resultados son objetivos, basados en mtricas generadas
igualmente de forma objetiva. Estos se expresan en
porcentajes, probabilidades de ocurrencia de amenazas,
pesos, etc.).
Es sencillo mostrar el costo-beneficio en trminos
comprensibles a la alta direccin (no tcnicos).
Los clculos pueden resultar complejos.
El trabajo previo requiere tiempo y esfuerzos considerables.
Tipos de anlisis de riesgos

52
Cualitativo
No
requiere determinar valores numricos (generalmente

monetarios) a los componentes objeto del anlisis, as como
al nivel de posibles prdidas.
No es necesario contar con la frecuencia de ocurrencia de
las amenazas.
Los resultados son subjetivos.
No hay una base para demostrar el costo-beneficio.
Los clculos son sencillos.
La calidad del anlisis depende del equipo conformado.
26
Metodologa para un Anlisis de Riesgos

Cualitativo.
53
Estudio Inicial
54
Debe identificarse amenazas, vulnerabilidades y

medidas de proteccin para reducir el impacto de
que una amenaza se concretice.
Antes de desarrollar la Poltica de Seguridad, deben
ser identificados los activos informticos, las principales
amenazas, evaluar el riesgo, realizar un estudio
Costo-Beneficio e implantar los mecanismos que
permitirn reducir los riesgos.
27
Identificacin de los activos

55
Antes de iniciar el anlisis se debe identificar la lista de

activos que deben ser protegidos, as como la
dependencia entre ellos.
Esta lista debe ser regularmente actualizada (con la
llegada de nuevo equipo, cambios de infraestructura,
etc..)
Entre otras cosas se debe considerar: hardware,
software, datos, documentacin, servicios u operacin.
Los 10 pasos
56
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
Enunciar el alcance.
Conformar el equipo de desarrollo del AR.
Identificar las amenazas.
Priorizar las amenazas.
Determinar la prioridad en funcin del impacto.
Estimar el impacto total de la amenaza.
Identificar medidas de proteccin.
Realizar un anlisis Costo/Beneficio.
Ordenar las medidas de proteccin por prioridades.
Reportar el resultado del Anlisis.
28
1. Enunciar el alcance
57
Establece cul es el activo informtico a ser

evaluado.
Centro de cmputo.
Sistemas: Unix, Windows, etc.
Aplicaciones, BD.
Wan, Lan o redes crticas.
Mantiene el enfoque en los procesos crticos de la

Organiazcin.
Define cul ser el entregable (reporte, estrategia,
mecanismo, etc.)
2. Conformar el equipo de desarrollo del AR

58
Dueos de las
funcionalidades.
Usuarios a todos los
niveles.
Diseadores y analistas
de sistemas.
Desarrolladores de
sistemas.
Administradores de BD.
Auditores.
Personal de:
Seguriad
fsica.
Telecomunicaciones.
Jurdico.
Administracin de
operaciones.
Sistemas operativos.
Seguridad informtica.
29
3. Identificar las amenazas.

59
Es recomendable contar con una lista propuesta antes del

anlisis. Pero fomentar lluvias de ideas:
Lectura ilegal de informacin
Negacin de servicio
Explotacin de deficiencias en plataformas operativas
Vandalismo en pginas web
Falsificacin de identidad
Virus, caballos de Troya, gusanos
Ingeniera social
CSI/FBI www.gocsi.com
Identificar las amenazas.

60
Acceso no autorizado.
Corrupcin de datos.
Instalaciones deficientes.
Controles de acceso fsico dbiles.
Protecciones fsicas no consideradas.
Spyware
Phishing
Se puede priorizar de acuerdo a Integridad, Confidencialidad
y Disponibilidad
CSI/FBI www.gocsi.com
30
CSI/FBI
61
4. Priorizar las amenazas

62
Tabla para dar prioridades a las amenazas (por

consenso).
Baja
Media
a
Baja
Media
a alta
Media
1
alta
5
31
Hoja de Factor de Riesgo

63
Amenaza
Posibilidad
de
Impacto a la
Ocurrencia
Organizacin
(Prioridad de
la amenaza)
Factor de
Riesgo
Total
estimado
5. Determinar la prioridad en funcin del

impacto
64
Se realiza el anlisis del impacto que provocara la

ocurrencia de las amenazas identificadas.
Este anlisis se realiza amenaza por amenaza.
Inicialmente se supone que no se cuenta con
controles para mitigar el impacto.
Ms adelante se permitir reconsiderar si los
controles y cmo mitigan el impacto estimado.
32
6. Estimar el impacto total de la amenaza

65
Simplemente se suman las columnas de prioridad de

que ocurra la amenaza y la del impacto a la
organizacin, para obtener un valor entre 2 y 10 del
Factor de Riesgo total estimado.
Las amenazas que tengan un Factor de Riesgo igual
o superior a 6 sern reconsideradas para ser
reconsideradas cuando se pase a la etapa de
seleccin de los controles adecuados.
7. Identificar medidas de proteccin

66
Se busca encontrar con controles tcnicos, administrativos,

legales, fsicos, para proteger con un costo razonable a los
activos, conforme a las amenazas de mayor factor de riesgo.
Los controles se clasifican en:
Preventivos (para evitar eventos que se supone pueden ocurrir).
De deteccin (para detectar eventos con la suficiente anticipacin para
tomar una medida).
De recuperacin (para planear y responder tan rpido como sea posible
ante un evento y establecer un ambiente de operacin segura).
De garanta (para asegurar que los controles implantados son
efectivos).
33
Identificar medidas de proteccin

67
Ejemplos de los controles:

Preventivos
(cifrado, control de acceso, anlisis de riesgos,
polticas, ).
De deteccin (IDS, IPS, Anti-cdigo malicioso, CCTV).
De recuperacin (BCP, BIA, DRP).
De garanta (Pentest, monitoreo peridico, revisin de
seguridad de aplicaciones, apego a estndares, auditoras
de seguridad).
Se debe asociar a cada amenaza uno o varios

controles, as como su costo.
Identificar medidas de proteccin

68
Amenaza
Factor de
Riesgo Total
estimado
Posible
Control
(Solucin)
Costo del
Control
34
8. Realizar un anlisis Costo/Beneficio

69
Se debe vigilar que los controles seleccionados siguen

los objetivos de la organizacin.
En este anlisis, se debe determinar cules son los
controles que dan un mximo de proteccin, a un
menor costo (puede haber controles que sirvan para
mitigar la ocurrencia de varias amenazas).
Asimismo, debe pensarse en las implicaciones que
tendr la implantacin del control en la
organizacin (administracin, capacitacin, cultura
organizacional, etc.)
9. Ordenar las medidas de proteccin por

prioridades
70
Debe ordenarse la seleccin, para seleccionar el control

adecuado.
Elementos que influyen son:
Cuntas amenazas puede mitigar un control.

El impacto en la productividad al implantar un control.
Controles que pueden desarrollarse en casa.
Nivel de aceptacin de riesgo.
35
10. Reportar el resultado del Anlisis

71
El producto del anlisis es un reporte, donde s

documentan los hallazgos.
Puede en ocasiones llegar hasta esbozar un plan de
implantacin de los controles sugeridos.
Permite crear un histrico, que permitir apoyar las
decisiones en anlisis futuros.
Reportar el resultado del Anlisis

72
Los puntos que debe incluir el reporte son:
Introduccin
Antecedentes y Alcance del anlisis
Resumen ejecutivo
Identificacin de amenazas
Determinacin del Factor de Riesgo Total
Identificacin de Controles
Anlsis Costo-Beneficio
Recomendacin de controles
Anexos
Miembros del equipo
Glosarios
Referencias
Planes de implantacin recomendados
Control de cambios
36
Actividad 4
73
Realizar un anlisis de riesgos cualitativo para las
siguientes instituciones ficticias:

1.
2.
3.
4.
5.
6.
7.
8.
Universidad
Industria petrolera
Banco
Aeronutica Civil
Energa Elctrica Regional
Defensa Nacional
Inteligencia militar
Sector salud
Arquitectura
Poltica de Seguridad
Herramientas de apoyo
(Windows, Unix, Linux)
Monitoreo
Seguridad Fsica
Sistemas Operativos
Comunicaciones
(Ruteadores, Cableado, Concentradores)
Infraestructura Fsica y de Servicios

(Electricidad, Agua, Aire Acondicionado, Telefona)
Confidencialidad
(Base de Datos, Compiladores, Mensajera)
Integridad
Plan de contingencia
Aplicaciones
Educacin
74
37
Arquitectura completa?
Cifrado
Acceso remoto
Cliente
Firewalls
Cliente
remoto
Red
interna
Internet
VPN
Antispam
DMZ
e-mail www
DNS
75
Cliente
Antispyware
Antivirus
Servidor
Agentes detectores
de intrusos y de
vulnerabilidades
3. Criptologa
76
INTRODUCCIN
ALGORITMOS DE LLAVE PRIVADA
ALGORITMOS DE LLAVE PBLICA
CERTIFICADOS DIGITALES E INFRAESTRUCTURA DE LLAVE

PBLICA (PKI)
SECURE SOCKET LAYER SSL
IPSEC
VPN
38
Introduccin
77
Criptologa.- Ciencia que estudia los aspectos y
contenidos de informacin en condiciones de secreca.

La Criptologa se divide en:
Criptografa
Criptoanlisis
Criptografa
78
Es el arte de construir cdigos secretos.

Es el conjunto de tcnicas o procedimientos que alteran
los smbolos de informacin sin alterar el contenido,
convirtiendo a la informacin modificada en un
conjunto de smbolos sin contenido para las partes que
no disponen de las tcnicas.
39
Criptoanlisis
79
Metodologas y tcnicas que permiten recuperar la

informacin que ha sido previamente tratada por un
procedimiento criptogrfico, sin conocer a priori la
tcnica utilizada para la criptografa.
Criptosistemas
80
El conjunto de procedimientos que garantizan la

seguridad de la informacin y utilizan tcnicas
criptogrficas.
El elemento fundamental de un Criptosistema es la
llave o clave
40
Criptosistemas
81
Existen dos tipos bsicos
De llave simtrica (p.e. DES).

De llave pblica (p.e. RSA).
de criptosistemas:
Cifrado
82
Definicin
Es el mecanismo para proporcionar confidencialidad a
travs de funciones matemticas
Tipos
Simtricos o de Llave Privada (ej. DES)
Asimtricos o de Llave Pblica (ej. RSA)
Hbrido (ej. SSL)
Puede realizarse en aplicaciones, redes,
almacenamiento, etc.
41
Modelo General de Cifrado

Llave de encripcin
Texto
claro
1
Texto
cifrado
2
Algoritmo de encripcin
Texto
claro
7
Algoritmo de desencripcin
5
Texto
cifrado
Llave de desencripcin
83
Formas de ataque
84
Fuerza bruta
Encontrar la llave que desencripta el texto cifrado revisando todas
las llaves del dominio
Cripto-anlisis
Encontrar una debilidad matemtica en el algoritmo de tal
manera que se pueda encontrar la llave sin tener que ejecutar el
algoritmo de desencripcin totalmente.
Errores de implantacin
Programacin dbil o corrupta (ej. back door)
42
Observaciones
85
Entre ms grande la llave:

Ms fuerte es el algoritmo
Ms lento se convierte
Entre ms tiempo pase:
Mayor es la capacidad de cmputo
Menor el poder de la llave
Entre ms probado es el algoritmo:
Ms fuerza adquiere
Para saber ms
86
Se recomienda la lectura del libro The Code Book
43
Algoritmos de llave privada

87
Antecedentes
88
Es la forma ms antigua de esconder la informacin
mediante funciones matemticas

Antiguamente se utilizaba el cifrado por caracteres
Algoritmos de substitucin
Algoritmos de transposicin
Hoy en da se cifra por bits pero la filosofa sigue siendo
la misma
44
Criptografa clsica
89
Cifradores de substitucin
Simple, homofnico, polialfabtico, poligramtico
Uno de los ms famosos y ms antiguos es el Algoritmo de Csar
Cifradores de transposicin
Los caracteres del texto claro permanecen pero se revuelven
Muy utilizados durante la 1era Guerra Mundial
Substitucin Monoalfabtica
90
Cifrado por substitucin monoalfabtico

Un caracter es substituido por otro.
Es monoalfabtico por usar solo un alfabeto
Uno de los ms famosos y ms antiguos es el Algoritmo de Csar
45
Substitucin Polialfabtica
91
Cifrado por substitucin multialfabtico

Usa mltiples substituciones monoalfabticas
Ejemplo: Vigenre
Llave: hola
Texto: Esto es un secreto
llave:
holaholaholahol
texto:
estoesunsecreto
Texto cifrado:lge...
Enigma
92
Fue un cifrador muy utilizado durante la Segunda
Guerra Mundial por las fuerzas alemanas.
46
Enigma
93
Su funcionamiento se basaba en rotores los cuales
conectaban entre si y a diferente letra en cada

conexin (ie. Substitucin).
Dependiendo de la posicin del rotor, se sealaba un
camino distinto (ie. Llave).
En cada letra, el rotor cambiaba de posicin (ie. Dos
letras iguales daban salidas diferentes).
Para determinar cifrar se necesitaba:
La letra en texto claro
La posicin del rotor
Al final se iluminaba la salida (ie. Texto cifrado).
DES (Data Encription Std)

94
Fue el primer intento por buscar un estndar de cifrado
que pudiera brindar interoperabilidad entre

aplicaciones
Adoptado como estndar de cifrado en 1976 despus de
largas discusiones:
Reduccin de 112 a 56 bits

Evaluaciones matemticas
Bsquedas de puertas traseras
47
Funcionamiento
95
Cifra por bloques de 64 bits

Se basa en 2 tcnicas de cifrado:
Confusin y difusin
El corazn de DES consta de 16 iteraciones
En cada iteracin se realiza una substitucin y una permutacin
basndose en una llave derivada de la llave principal
Texto plano 64 bits
Llave de 56 bits
...
...
Permutacin inicial
Iteracin 1
Iteracin 2
Iteracin 16
Sel Permutacin 1
K1
K2
K16
Sel Permutacin 2
Rotacin Izq
Sel Permutacin 2
Rotacin Izq
Sel Permutacin 2
Rotacin Izq
swap 32 bits
Permutacin inicial
inversa
Descripcin general de DES
...
Texto cifrado 64 bits
96
48
32 bits
Li -1
32 bits
28 bits
28 bits
Ri -1
Ci -1
Di -1
Rotacin Izq
Expansin/
Permutacin (T E)
48
+
48
Ki
Rotacin Izq
Permutacin/Contraccin
(Sel Perm 2)
48
Caja S
Descripcin de una
iteracin
del algoritmo de DES
32
Permutacin (P)
32
+
Li
Ri
97
Ci
Di
Iteracin i de DES
98
Li = Ri-1
Ri = Li-1
+ f (Ri-1, Ki)
49
R (32 bits)
Clculo de f (R,K)
48 bits
K (48 bits)
+
S1
S2
S3
S4
S5
S6
S7
S8
P
32 bits
99
Detalle de la caja S (rengln 0 de S1)

entrada de 4 bits
decodificador de 4 a
16
P
e
r
m
u
t
a
c
i
n
codificador de 16 a 4
salida de 4 bits
100
50
DES. Decriptado
101
El proceso de decriptado es en esencia el mismo que el
de encriptado.
La regla es la siguiente:
Usar el texto cifrado como entrada a DES,

usando la llave Ki en orden inverso.
Salida (texto plano)

Entrada (texto plano)
Permutacin inicial inversa (IP -1)

d
Rd16 = L0 L 16 = R0
Permutacin inicial (IP)
Encriptado y
Decriptado
DES
L0
K1
f
K2
R1
L2
L14
K15
R0
L1
+
R2
Ld16 = R0 Rd 16 = L0
f
+
d
Rd15 = L1 L 15 = R1
K1
+
f
K2
R14
Ld2
+
R15
L16
R16
f
K16
f
Rd14 = L2
Ld14 = R2
Rd2 = L14
= R14
f
L15
R16
L16
d
Rd1 = L15 L 1 = R15
K15
+
f
d
Ld0 = R16 R 0 = L16
K16
Permutacin inicial (IP)
Permutacin inicial inversa (IP -1 )
Salida (texto102
cifrado)
Entrada (texto cifrado)
51
DES. Decriptado
103
El diagrama indica que en cada paso, el valor
intermedio en el proceso de decriptado es igual al valor

intermedio correspondiente en el proceso de encriptado,
con las dos mitades invertidas.
Actividad 5
104
Demostrar esta fase de des-encripcin de DES
52
Ventajas
105
La decripcin utiliza el mismo algoritmo pero con las
llaves en orden inverso

No se encontraron graves debilidades matemticas en
ms de 20 aos
Es un estndar ampliamente utilizado en la industria
Existen implantaciones en hardware que pueden
agilizar el proceso de cifrado hasta 1 Gb/s (cfr. Compaa
DEC)
Desventajas
106
Muchas incgnitas iniciales han sido resueltas con el
tiempo pero otras siguen sin poderse demostrar

Ya cumpli con su ciclo de vida
Puede romperse por fuerza bruta en menos de un da

ej. Computacin distribuida en Internet
Como todo algoritmo simtrico, tiene el problema de la
distribucin de la llave
53
Mejoras a DES
107
Para alargar su tiempo de vida se ha decidido utilizar
Triple DES
Utilizar DES tres veces en serie

No se ha podido demostrar que esto sea intil ni menos fuerte
DES
K1
CIFRA
DES
K2
DESCIFRA
DES
K3
CIFRA
Texto en
claro
Texto
cifrado
Pregunta: De cuantos bits es la llave 3DES?
AES
108
AES (Advanced Encription Standard) fue seleccionado
por el NIST como el sucesor oficial del DES.

En octubre del 2000 el algortimo Rijndael fue elegido
entre varios por su versatilidad, seguridad, eficiencia, etc.
Utiliza bloques de 128 bits con longitudes de llave de 128,
192 y 256 bits.
54
Ejemplo de Cifrado Simtrico

109
Actividad 6
110
En laboratorio instalar TrueCrypt para crear:

una unidad cifrada k en su equipo.
un dispositivo USB cifrado.
En ambos casos reportar qu opciones fueron
seleccionadas.
55
Actividad 7 (individual)
111
1.
En el laboratorio Instale Kleopatra y valide que pueda ejecutarse GPG desde la lnea de
comandos (desde el prompt de msdos o de linux, ver figura).
112
2. Desde el prompt, con GPG cifre con llave simtrica 3DES un documento en
doc conteniendo su nombre, valide que puede descifrarlo. El archivo

resultante se enva por correo al profesor indicndole cul es la llave
empleada, para que lo pueda visualizar.
3. Repita el mismo proceso ahora con llave AES.
56
Algoritmos de llave pblica

113
Antecedentes
114
En 1976 Whitfield Diffie y Martin Hellman transformaron
el modo de concebir la criptografa

Anteriormente la criptografa era vista como el
paradigma de la caja fuerte
Una sola llave secreta y todopoderosa
El paradigma se cambi a un par de llaves relacionadas
matemticamente
Una llave pblica y una secreta donde conociendo una es

imposible determinar la otra
57
Llave Pblica y Llave Secreta

115
Cada persona tiene un par de llaves:

Una Pblica (Pk) y una Secreta (Sk)
Se crean en el mismo instante:
La Pk la puede conocer todo el mundo.
La Sk solo puede ser utilizada por el propietario.
Guardan una relacin intrnseca una con la otra y
ningn otro par puede utilizarse con ellas.
Ejemplo de una llave pblica

116
58
Esquema de cifrado
117
Digamos que existen un par de llaves que pertenecen al
usuario A:
PK A : Llave pblica de A
SK A : Llave secreta de A
Entonces:
B -> A: PKA {mensaje}
: Mensaje Cifrado
A : SKA {PKA {mensaje} } : Desencripcin
El mensaje solamente lo puede entender el usuario A
Un poco de paranoia
118
Todas las llaves pblicas deben ser publicadas

Web, e-mail, finger, post-it, etc.
As pues, en el ejemplo anterior:
Cmo sabe A que B fue realmente quien le envi el
mensaje?
59
Esquema de autenticacin
La criptografa mediante llaves pblicas tambin
tienen otro uso: autenticacin

Se requiere un par de llaves para B:
PK B : Llave pblica de B
SK B : Llave secreta de B
Entonces:
B -> A: SKB {mensaje}
: Mensaje Firmado
A : PKB {SKB {mensaje} } : Verificacin
El mensaje solamente pudo haber sido enviado por B
119
Cifrado y Autenticacin
Finalmente se puede cifrar y autenticar un
mensaje:
B -> A: PKA { SKB {mensaje}}

Mensaje
firmado y cifrado
A : SKA { PKA { SKB {mensaje}}}

Desencripcin
A : PKB { SKB {mensaje}}

Verificacin
El mensaje slo pudo haber sido enviado por B
y nicamente A lo puede entender
120
60
Diffie-Hellman
121
Es el primer algoritmo de llave pblica conocido en la
literatura
Se basa en la dificultad de calcular logaritmos en un
dominio finito comparado contra la facilidad de
exponenciar dicho dominio
Puede utilizarse para distribuir llaves pero NO para
cifrar y descrifrar mensajes
Requisitos (D-H)
122
Sean n,g enteros (grandes), donde
1>g<n
n, g son nmero conocidos
Sean x , y enteros secretos

Se recomienda que n sea primo, as como (n-1)/2
n debe ser grande
Al menos de 512 bits
61
Algoritmo (D-H)
123
Pasos
1) X = g x mod n
2) Y = g y mod n
3) Se intercambian X , Y
4) k = Y x mod n , k = X y mod n
Notas
k = k = g xy mod n
Nadie puede conocer k, k a partir solamente de x, y
Ejemplo (D-H)
124
Supongamos que A, B desean compartir un secreto (ej.
semilla para un algoritmo)

Sean n = 7 ; g = 2 ampliamente conocidos
A escoge x = 5 ; B escoge y = 3
A: X = g x mod n = 2 5 mod 7 = 4
B: Y = g y mod n = 2 3 mod 7 = 1
A (X = 4) -> B ; B (Y=1) -> A
A: k = Y x mod n = 1 5 mod 7 = 1
B: k = X y mod n = 4 3 mod 7 = 1
k = k = g xy mod n = 2 (5)(3) mod 7 = 1
A y B comparten el mismo secreto

62
RSA
125
Surge en 1978, creado por Ron Rivest, Adi Shamir y
Leonard Adleman
Su seguridad radica en la dificultad de factorizar
nmeros muy grandes (especialmente nmeros primos)
Ej. 100 o 200 dgitos (pero se han podido romper llaves de 512 bits)
Proporciona mayor flexibilidad

Se puede utilizar tanto para encriptar como para firmar mensajes
Algoritmo
126
Sean p, q nmeros primos
Llave pblica:
n=pxq
e , primo relativo de (p-1) x (q-1)
Llave privada:
d x e = 1 (mod ( p-1) x (q-1)) (es decir que d es inverso a e)
Frmula de cifrado
e
c = m (mod n)
Frmula de descifrado
d
m = c (mod n)
63
Ejemplo
127
Sea p = 47 y q = 71
Entonces n = p x q = 3337
y (p-1) x (q-1) = 46 x 70 = 3220
e , aleatorio, puede ser 79
e no tiene factores en comn con (p-1) x (q-1)
d = 79 -1 (mod 3220) = 1019
e , n se pueden publicar (ms NO d )
Ejemplo (cont.)
128
Sea m el mensaje a cifrar

m = 6882326879666683
Por facilidad se divide el mensaje en trozos ms
pequeos
m1= 688
m2 = 232
m6 = 3
Cifrado
79 (mod 3337) = 1570
c1 = 688
y as sucesivamente cada trozo
64
Ejemplo (cont.)
129
Mensaje cifrado
c = 1570 2756 2714 2276 2423 158
Mensaje descifrado
1019 (mod 3337) = 688
m1 =1570
y as sucesivamente hasta recuperar el mensaje original
Actividad 8
130
Proponga otro valor de e, para la lmina 127, en el
que e no tenga factores en comn con 3220 y, que

cumpla con que al ser multiplicado por d = 1019 resulte
en 1 (mdulo 3220).
Con los valosres de e y d demuestre que permite la
encripcin y desencripcin con RSA del mensaje:
m = 10.
65
Firma Digital
131
Antecedentes
132
El concepto de firma digital no era conocido como tal
hasta 1976
Tiene los mismos objetivos que una firma autgrafa:
Proveer autenticacin
Dar validez al documento
Brinda muchas ventajas aunque todava tiene
problemas jurdicos
66
Definicin
133
Una firma digital es una cadena de datos creada a
partir de un mensaje (o parte de un mensaje) de forma

que sea imposible que quin enva el mensaje niegue
haberlo hecho y quin recibe el mensaje pueda asegurar
que quin dice que lo ha enviado realmente lo sea
Ventajas
134
Provee caractersticas de seguridad a la informacin:

Integridad, Autenticacin, No repudiacin
Es fcil y barata de producir
Es fcil de reconocer, tanto por parte del propietario
como de otros
Automticamente en los productos
Es infalsificable (al menos tericamente)
67
Firma Digital
135
Una firma digital es una cadena de datos creada a
partir de un mensaje de forma que sea imposible que:
Quien enva el mensaje niegue haberlo hecho

Quien recibe el mensaje pueda asegurar que quien dice que lo ha
enviado realmente lo sea.
La Firma Digital puede brindar:

Autenticacin
Integridad
No Repudiacin
Firma Digital
136
Limitaciones:
Se basa en que la llave secreta de la persona que firma no la haya
dado a conocer.
La validez legal que tenga dicha firma.
En Mxico se utiliza de manera oficial la FIEL (FIrma
ELectronica Avanzada) para firmar las declaraciones de

impuestos.
68
Usos y aplicaciones
137
Los mismos que una firma tradicional ms :

Correo electrnico
Transacciones comerciales electrnicas
Compra/venta de productos a travs de WEB
Firmas de contratos
y muchos ms !
Funciones Hash
138
Propiedades: Sea M el mensaje y h(M) el resultado de
aplicar la funcin resumen al mensaje M). Entonces la

funcin hash:
Debe poder convertir un mensaje de longitud arbitrara M en uno

de longitud fija h(M)
Debe ser unidireccional, es decir, dado un valor Y debe ser
computacionalmente imposible encontrar M tal que h(M)=Y
69
Funciones Hash (cont.)

139
Se debe asegurar que es computacionalmente imposible encontrar

dos mensajes M y M' tales que h(M) = h(M'). A esta propiedad se la
denomina imposibilidad de colisin.
Mtodo tradicional
140
70
Pretty Good Privacy

141
Creado en 1991 por Phil Zimmermann (PZ) y conocido
comnmente como PGP

Inici como un software que utilizaba algoritmos
conocidos en su implantacin
IDEA, MD4, MD5, RSA
PGP comenz a tener auge fuera de los EUA:

Se filtr el cdigo y los programas por Internet
Gan miles de adeptos en todo el mundo
Pretty Good Privacy (cont.)

142
PGP enfrent diversos problemas:

RSA trat de demandar a PZ por violacin de licencias
EUA determin que la exportacin de PGP era ilegal y demanda
a PZ
Los adeptos iniciaron un fondo comn para la defensa de PZ
Se llegaron a algunos acuerdos:
PZ deja de difundir su software con lo cual se detiene la demanda
de RSA
El gobierno de EUA desecha su demanda
71
Pretty Good Privacy (cont.)

143
Actualmente es un software de los ms populares

Casi un de-facto standard para comunicacin entre usuarios
finales
Se utiliza mucho en avisos de seguridad
Microsoft
CERT/CC
SANS
144
Mediante Kleopatra o GPG, genere su par de llaves de
criptografa de llave pblica RSA.

Enve la llave pblica RSA al profesor va correo en
formato asc
Cifre un documento en doc conteniendo su nombre,
mediante su llave privada RSA. El archivo resultante se
enva por correo al profesor.
Con la llave pblica enviada el profesor validar el
documento doc que reciba, validando as su identidad,
ya que slo usted pudo cifrar con su llave privada dicho
documento.
72
Ejemplo de Cifrado Asimtrico

145
146
73
Firma Digital
147
La firma digital permite autentificar a una entidad.

Existen varios esquemas para realizar una firma
dependiendo de la aplicacin.
Generalmente se implementa mediante criptosistemas
simtricos.
Firma Digital
EJEMPLO:
De Alice a Bob...
B, { A, M, [ h(M),A ]KprivA }KpubB
Bob...
{ { A, M, [ h(M),A ]KprivA }KpubB }KprivB

A, M, [h(M),A]KprivA
h(M) y {[h(M),A]KprivA} KpubA
Si los h(M) coinciden, se trata de A y M es ntegro.
148
74
Actividad 10
149
Describir un esquema de firma digital (mediante criptosistemas de llave
pblica) para la aplicacin siguiente:
A y B envan un mensaje compuesto a C.
Primero B crea su mensaje y lo firma envindolo a A.

A agrega al mensaje de B su propio mensaje constituyendo un mensaje
compuesto, que ser enviado a C.
Para que un mensaje recibido por C sea aceptado como vlido, es
necesario tener prueba de que A lo firm.
Adems C requiere tener prueba de que el mensaje no est alterado.

Por ltimo, debe existir prueba de que C es el destinatario.
A, B y C estn en diferentes mquinas. Utilice la notacin del estilo:
{A, h(M)}kpriv A para exponer su solucin.
Autoridades certificadoras (CA)

150
75
Autenticacin de la llave pblica

151
Problemtica (un poco ms de paranoia):

Un usuario puede generar un par de llaves (pblica y privada) y la
puede poner a disposicin de los dems usuarios pero cmo
sabemos que la llave pblica que se nos presenta es realmente de
quin dice ser? cmo sabemos que no hay un tercero
interceptando los mensajes (pe. man in the middle)?
Autoridades Certificadoras (CA)

152
Son conocidas como los Notarios electrnicos
Una Autoridad Certificadora (CA) CERTIFICA la llave
pblica de un usuario mediante su propia firma digital

A esto se le conoce como certificado digital
La PKI es bsicamente la administradora de certificados
y llaves.
76

153
El proveedor de un servicio de certificacin es una
entidad que permite la verificacin de la identidad de

una persona o entidad que desea utilizar la firma
electrnica, o la autenticacin de servidores.
En ltima instancia una CA vende confianza como lo
hace un notario.

154
Existen compaas dedicadas a ello:

Verisign, Entrust, FESTE, etc.
Organizaciones sin fines de lucro:
Banco de Mxico
Creadas bajo sistemas operativos:
Microsoft, Linux, etc.
77
Certificado digital
155
Definicin
Un certificado es un documento firmado digitalmente por una
persona o entidad confiable denominada Autoridad de
Certificacin (CA) que vincula cierta informacin perteneciente a
un sujeto con su llave pblica
Certificado digital (cont.)

156
Contenido general:
ID (identificador) de peticin, una contrasea, el nombre del
titular, sus apellidos, su direccin e-mail, datos de su empresa (de
forma opcional) como el nombre de la organizacin,
departamento, localidad, provincia y pas, la fecha de emisin y la
de caducidad del certificado.
Por interoperabilidad deben seguir el estndar
internacional X.509
78
Ejemplo
157
Ms paranoia ...
158
Supongamos que la entidad A utiliza a B como su CA
para obtener un certificado digital, ahora bien quin

nos asegura que la firma de B para el certificado es
realmente la firma de una entidad confiable?
79
CA Chainning
Es una propiedad de permite que una
CA sea certificada por otra de mayor
jerarqua.
La llave pblica de CA es firmada por
otra mas confiable.
CA0 = Root CA
CA1
CA2
CA3
CA4
159
Cross Certification
Es una propiedad de permite que una
CA sea certificada por otra y vicerversa.
Ambas CAs confian una en la otra por lo
que los certificados emitidos por ellos son
validos sin importar de cual CA provengan.
CA1
CA2
160
80
Estndares
161
PKCS (Public-Key Cryptography Standards)

Conjunto de especificaciones de seguridad que forman la base de
muchos productos comerciales (SSL, S/MIME, SET)
Frecuentemente referenciados, implementados, reusados y
refinados
PKCS estandariza importantes algoritmos criptogrficos de forma
detallada
Beneficio: interoperabilidad entre diferentes implementaciones
Estndares
162
Ejemplos de PKCS:
PKCS #1: RSA Cryptography Standard
Provee
recomendaciones para la implementacin de criptografa de

llave pblica basada en el algoritmo RSA (primitivas criptogrficas,
esquemas para encriptar, esquemas de firma digital, etc.)
PKCS # 3: Diffie-Hellman Key Agreement Standard

Describe
un mtodo para implementar Diffie-Hellman (key

agreement).
81
Estndares
163
PKCS #5: Password-Based Cryptography Standard

PKCS #6: Extended-Certificate Syntax Standard
PKCS #7: Cryptographic Message Syntax Standard
PKCS #8: Private-Key Information Syntax Standard
PKCS #9: Selected Attribute Types

PKCS #10: Certification Request Syntax Standard
PKCS #11: Cryptographic Token Interface Standard
PKCS #12: Personal Information Exchange Syntax Standard
PKCS #13: Elliptic Curve Cryptography Standard
PKCS #15: Cryptographic Token Information Format
Standard
Secure Socket Layer (SSL)

164
82
SSL
SSL (Secure Socket Layer) se utiliza regularmente para intercambiar
informacin por Internet desde el navegador hasta el servidor:
165
Secure Sockets Layer (SSL)

166
Es un estndar de-facto para encriptado y autenticacin
en el Web
Encripta transacciones en protocolos de nivel aplicacin
como HTTP, FTP, etc.
Con SSL puede autenticarse un servidor con respecto a
su cliente y viceversa
83
Ventajas
167
Utiliza lo mejor de los dos mundos

Distribuye la llave de sesin mediante algoritmos de llave pblica
Encripta toda la comunicacin mediante la llave de sesin
utilizando algoritmos de llave privada
Es ms rpido y seguro que utilizar slo una de las dos
opciones
SSL
168
El uso de SSL nos brinda la posibilidad de:

Confirmar que el servidor Web que nos est respondiendo es
quien dice ser.
Cifrar la informacin entre el servidor Web y nuestro cliente
Verificar que sus credenciales sean vlidas, por ejemplo: que estn
vigentes, que alguien conocido se las haya dado, que sean del
servidor a quien contactamos.
84
Ubicacin
169
APLICACIN
SSL
TCP/IP
Protocolo SSL
170
Provee seguridad en el canal:

Confidencialidad: Se usan algoritmos simtrico (DES, RC4)
Autenticacin: Se usan algoritmos asimtricos (RSA)
Integridad: Se usan funciones hash (MD2, MD4, MD5)
85
SSL handshake protocol

171
Permite al cliente y servidor seleccionar algoritmos
criptogrficos que sean soportados por ambos

Usa criptografa de llave pblica para intercambiar la
llave de sesin
Establece una conexin encriptada
SSL
172
Un certificado digital permite comprobar que:

Proviene de una autoridades desconocida.
Est a nombre del sitio web para el que fue expedido.
Est vigente.
86
Si hubiera problema en el certificado
173
Porque su certificado ya expir
Y terminas accediendo el sitio.

174
87
Actividades 11 y 12
175
Cmo se valida que un certificado es valido mediante:

Listas de revocacin en el sitio de la autoridad que lo gener
(CRLs).
OCSP
Demostrar un MITM (Man inThe Middle) usando PAROS
(o algn otro proxy) visitando su correo Gmail, an

cuando se use HTTPS.
Secure IP o IPSec
176
88
Antecedentes
177
TCP/IP diseado en los 60s con debilidades naturales:

Creado sin tener la seguridad en mente
Enva la informacin en texto claro
No se verifica la identidad del origen
Algoritmos dbiles para verificar la integridad
Reciente preocupacin por la seguridad
Nacimiento de Secure IP o IPSec en 1994
Conjunto de protocolos de seguridad que se integran
en la capa IP para brindar caractersticas de encripcin

y autenticacin.
Caractersticas
178
Principales caractersticas:
Transparencia
Flexibilidad
Estandarizacin
Enriquece IP v4 e integrado en IP v6
Amplia aplicacin en la industria
89
Componentes de IPSec...
179
Basado en dos encabezados:

Encabezado de Autenticacin
(Authentication Header, AH)

Encabezado para Encripcin
( Encapsulated Security Payload, ESP)

Asociacin de seguridad : Conjunto de parmetros
usados en la conversacin.
Algoritmos de autenticacin y encripcin

Llaves, su longitud y tiempo de vida
Nivel de sensibilidad
Encabezado AH
(Authentication Header)
180
Contiene informacin para autenticar todos los campos del
paquete que no deben cambiar del origen al destino final.

Usa MD5 como algoritmo default
Usa el SPI para identificar asociacin de seguridad
Tiene un costo de procesamiento
8 bits
8 bits
Siguiente
encabezado
Longitud
16 bits
Reservado
Indice de Parmetros de Seguridad (SPI)

Datos de Autenticacin
90
Encabezado ESP
(Encapsulated Security Payload)
181
Proporciona confidencialidad e integridad por medio de
algoritmos de encripcin.
Usa el SPI para identificar asociacin de seguridad
Se puede aplicar de dos modos: Tnel y Transporte
Usa DES como algoritmo default
Incrementa el overhead de procesamiento
ESP Modo de Transporte

182
Origen:
Internet:
Destino:
Encripta parte del ESP y

todos los segmentos del nivel
de transporte
Examina y procesa cada

encabezado IP.
Con el SPI decripta el

segmento de transporte
Aade encabezado IP
Encabezado
Otros
IP
encabezados
Desencriptado
Rutea los paquetes

La parte encriptada no se
puede leer
Encabezado
ESP
Segmento del nivel de

Transporte
Encriptado
91
ESP Modo de Tnel

183
Origen:
Internet:
Encripta paquete
Antepone
encabezado IP
Examina y
Decripta paquete
procesa encabezado
Enva decriptado
IP
Encabezado
IP
Otros
Encabezados
Firewall:
ESP
Encabezado
IP
Desencriptado
Red Interna:
Destino:
Examina y procesa
el paquete.
Rutea al destino
final
Decripta segmentos
a nivel transporte.
Otros
Encabezados
ESP
Segmento de
Transporte
Encriptado
Redes Privadas Virtuales

(VPN)
184
92
Redes Virtuales Privadas (VPNs)

185
Una VPN se forma al utilizar un red pblica (como
Internet) para transmitir informacin simulando canales

privados
Se conecta mediante Internet al equipo destino con una
llamada al ISP local
Forma un canal virtual (tnel) entre el origen y el
destino cifrando la informacin
Esquema con VPNs

186
Firewall
Red
Privada
Interno
Internet
Red
Telefnica
Externo
93
Ventajas de las VPNs

187
Reduccin de costos
Comparacin con el mtodo tradicional de acceso remoto
Gran versatililidad
Escalabilidad (hasta cierto punto)
Confidencialidad e integridad
Control de trfico
Posibilidad de administracin de seguridad centralizada
Desventajas de las VPNs

188
Falta de interoperabilidad
El mercado an no est maduro para interoperar entre diferentes
marcas
Calidad del servicio (QoS) no predecible
Depende del trfico de Internet
No existe el producto unitalla (one size fits all)
Cuidado con el efecto de la navaja suiza
Muchas veces se requiere el uso de ms tecnologas (pe.
PKI)
94
4. Seguridad en
Aplicaciones
189
AUTENTICACIN Y CONTROL DE ACCESO

SEGURIDAD EN SISTEMAS OPERATIVOS
SEGURIDAD EN EL DESARROLLO DE SISTEMAS
MODELOS TRADICIONALES
CDIGO MALICIOSO
ALMACENAMIENTO MVIL
SEGURIDAD EN TELFONOS INTELIGENTES
Autenticacin y Control de Acceso

190
95
Autenticacin
191
Definicin
Es la serie de mecanismos para verificar que alguien es quien dice
ser.
Factores de autenticacin
Algo que se sabe (ej. contrasea)
Algo que se tiene (ej. tarjeta inteligente)
Algo que se es (ej. dispositivo biomtrico)
Dispositivos Autenticacin
192
Contraseas
Idealmente se deberan usar una sola vez
Entre ms se use, ms probable es que lo conozca una entidad no
autorizada
Contrasea esttica: no cambia
Contrasea dinmica: cambia (one-time password)
96
Tokens (One-Time Password)

193
Tipos:
Por Tiempo
Una contrasea diferente en cada tiempo definido (por ejemplo cada

minuto)
Por evento
Una contrasea diferente por cada evento de acceso.
Tokens (One-Time Password)

194
Challenge-Response
Se genera un reto, el cual utiliza el usuario para generar una respuesta

en su token.
1) Cadena Aleatoria
Server
Usuario
2) PIN
+
Cadena Aleatoria
3) Password
Token
97
Dispositivos de Autenticacin
195
Tarjetas Inteligentes
Pueden guardar mucho ms informacin que banda magntica
Capacidad de procesar informacin (microprocesador integrado)
Dos factores de autenticacin:
algo
que sabe (PIN)+algo que tiene
Password protege informacin

Puede ser usada para crear llaves pblicas/privadas, protegiendo
nicamente la llave privada (la cual nunca sale de la tarjeta)
Algo que eres

196
Utiliza dispositivos
biomtricos para permitir

el acceso a reas.
Indicadores biomtricos
ms populares:
Rostro
Huellas dactilares
Geometra de la mano
Iris y patrones de la retina
Voz
Firma
98
Biometra
197
Definicin
La biometra es la ciencia que se dedica a la identificacin de
individuos a partir de una caracterstica anatmica o un rasgo de
su comportamiento.
Las caractersticas anatmicas deben cumplir:

- Universalidad
- Unicidad
- Permanencia
- Cuantificacin
Biometra (cont.)
198
99
Efectividad
199
False Acceptance Rate (FAR): % de usuarios aceptados por el sistema
debiendo ser rechazados
Ej. Dar acceso a un impostor
False Reject Rate (FRR): % de usuarios rechazados que deberan ser
aceptados.
Ej. Negar el acceso a la persona autorizada
El nivel de error (Equal Error Rate, ERR) representa el cruce entre los
anteriores.
Ej. Casos dudosos.
Algunos Retos
200
An se trabaja en estndares internacionales para
incrementar la interoperabilidad.
No hay una solucin directa al robo del indicador
biomtrico.
El costo an es elevado para algunos.
Bsqueda de nuevos biomtricos/algoritmos rpidos y
eficaces
100
Huellas Dactilares
201
Definicin
Es la representacin morfolgica superficial de la epidermis de un
dedo.
Una huella est formada por un conjunto de lneas
aparentemente paralelas que se intersectan o

terminan.
Los puntos donde terminan o se bifurcan se les llama minucias.

Los puntos de mxima curvatura se les llama cores o deltas.
Huellas Dactilares
202
Dichos puntos son nicos para cada individuo y
permanecen inalterados a travs de su vida.
101
Huellas Dactilares
203
Las minucias ms importantes son las terminaciones y las
bifurcaciones.
Una huella normalmente tiene alrededor de 44
minucias.
4-4-2
204
102
Reconocimiento Facial
205
Es uno de los ms utilizados por no ser invasivo.

Se utilizan dos tipo de algoritmos:
Holsticos: Todas las consideraciones globales de un patrn de cara
(tamao, ngulos, expresin, etc.)
Analticos: Slo un conjunto de caractersticas geomtricas.
Los modelos 2D tiene un alto FRR por sombras, posicin,
inclinacin, definicin, etc. por lo que se trabaja en

modelos 3D mediante el uso de grids elsticos.
Reconocimiento Facial (2D)

206
103
El Ojo Humano
207
Reconocimiento de iris
208
Al igual que las huellas presenta, el iris presenta una
morfologa aleatoria que puede ser codificada.

Ventajas
Su lectura no es tan intrusiva como el de retina

Es un rgano interno (protegido)
Es estable y sin cambio durante el periodo de vida.
104
Reconocimiento de iris
209
Pasos generales:
Adquisicin de la imagen.
Segmentacin y normalizacin del iris
Codificacin
Comparacin de cdigos
Caso de xito
210
John Daugman calcul el cdigo
del iris en ambas fotografas.

El iris code se obtiene mediante
un clculo matemtico a partir

de la imagen del iris.
Compar los cdigos y encontr
distancias muy pequeas entre
ambos (0.24 y 0.31) .
Dos iris diferentes estadsticamente

tienen cdigos muy lejanos.
Por ejemplo, error de 1 en 6 millones
(con uno) y de 1 a la 10-15 (con dos).
Sharbat Gula 1984-2002

105
Reconocimiento de Retina
211
La funcin de la retina es transformar la luz en un
impulso nervioso que ser dirigido al cerebro.

El reconocimiento se basa en la captura y anlisis de los
patrones de los vasos sanguneos alrededor del nervio
ptico.
El dispositivo ilumina, a travs de la pupila, una regin
de la retina con luz infrarroja y almacena la informacin
del contraste de los patrones vasculares reflejados.
Reconocimiento de Retina
212
106
Actividad 13
213
Instalar OpenSSL o validar que ya cuenten con l en su
distribucin de BackTrack o Linux (digitando openssl

desde la lnea de comandos).
Genere Certificados Digitales
Para una autoridad Raz.

Para un servidor Apache
Para 2 usuarios que se vayan a conectar al servidor Apache (sea
con autentificacin simple o con autentificacin mutua)
Seguridad en Sistemas Operativos

214
107

215
No importa la marca o tipo de sistema operativo,
siempre se debe revisar:
Archivos de sistema
Configuracin,
parches, espacio swap
Sistema de archivos
Atributos
Usuarios y Grupos
Vigencia,
contraseas, derechos, restricciones

216
Red
Protocolos
(ej. TCP/IP, IPX/SPX, NETBios)

Atributos de confianza
Servicios
smtp,
ftp, telnet, finger, echo, time, http, nfs, etc.
Auditora (logs)
Acceso,
salida, creacin, borrado, etc.
108
Guas de seguridad
217
Las guas que publican diversas entidades son muy
recomendables:
NIST, SANS, etc.
Los propios productores publican las propias:

Microsoft, Sun, IBM, etc.
Seguir e implantar estas guas es lo que se conoce como
el hardening o fortalecimiento del sistema operativo.
218
109

219
Inconvenientes
Algunos sistemas operativos se instalan con una configuracin
inicial que brinda la mayor facilidad posible
Para muchos administradores la configuracin de seguridad est
despus que poner la caja en marcha
La revisin manual de estos aspectos es una tarea difcil ... pero no
imposible
Seguridad en Desarrollo de Sistemas

220
110
Antecedentes
221
La causa raz de las vulnerabilidades de las aplicaciones
son los defectos existentes en el cdigo fuente.

De acuerdo a un estudio publicado por IEEE en 2001,
encontrar y solucionar defectos en las aplicaciones ya
implementadas es 100 veces ms costoso que hacerlo en
las fases de diseo y desarrollo.
Seguridad en Aplicaciones
222
111
Top 10 de vulnerabilidades
para aplicaciones web
223
1. XSS (Cross Site Scripting)

2. Injection Flows
3. Malicious File Execution
4. Insecure Direct Object Reference
5. Cross Site Request Forgery (CSRF)
6. Information Leakage and Improper Error Handling
Top 10 de vulnerabilidades
para aplicaciones web
224
7. Broken Authetication and Session Management
8. Insecure Cryptographic Storage

9. Insecure Communications
10. Failure to Restrict URL Access
(Fuente: OWASP 2007)
112
Ejemplo
225
Actividades 14 y 15
226
Pruebe algunas de las vulnerabilidades que presenta

el sitio Altoro Mutual en el Laboratorio.
2. Inicie la instalacin de su servidor Web Apache, de su
equipo de trabajo, para que servir para demostrar
vulnerabilidades del tipo Altoro Mutual en su
proyecto final.
1.
113
Almacenamiento Mvil
227
Almacenamiento mvil
228
En muchas ocasiones, el almacenamiento de
informacin para los usuarios finales puede tener sin

problema los 4 Gb ( o ms) de informacin:
Documentos
Fotografas
Mensajes
114
Almacenamiento movil
229
Algunas preguntas sobre el contenido:

Qu se guarda en esos dispositivos?
Qu pasara si caen en manos no autorizadas?
Divulgacin de informacin
Secuestro
Extorsin
Amenazas
Almacenamiento mvil
230
Algunas preguntas sobre el control de ellos:

Quin regula en su organizacin el uso de estos dispositivos?
Si alguien lo hace,
cmo se hace?
en dnde se hace?
quin lo hace?
cunto tiempo se tarda en hacerlo?
qu efectividad tiene?
115
Almacenamiento mvil
231
Actualmente cualquier
usuario utiliza
memorias tipo flash
para sus actividades
cotidianas:
USB drives
Tarjetas de memoria
Memorias Flash
232
Tcnicamente es una memoria basada en EEPROM
(Electrically Erasable Programable Read-Only

Memory).
Esto significa que es una memoria que puede ser leda
y escrita cuantas veces se quiera (ie. Entre 10 mil y un
millon de veces).
Su funcionamiento se basa en el almacenamiento de
bits por medio de puertas lgicas (NAND y NOR) para
causar campos elctricos para sealar los bits.
116
USB drive
233
USB (Universal Serial Bus) fue creado en 1996 para
comunicarse con algn dispositivo (incluyendo la

alimentacin elctrica necesaria de bajo voltaje).
Tiene varias velocidades siendo la versin USB 2.0 de
hasta 480 Mb/s.
El pendrive/USB drive/flash drive utiliza esta forma de
almacenar los datos.
Tipos de USB Drives

234
117
Ejemplo de un USB cifrado

235
Tarjetas de Memoria
236
Son dispositivos de memoria flash que aparecieron a
finales de los 90s, principalmente para uso en

dispositivos como cmaras, telfonos y PDAs.
Aunque el formato lgico es similar, actualmente el
mercado est muy fragmentado debido a la
competencia entre fabricantes.
Existen iniciativas entre los fabricantes para incorporar
algunos candados de seguridad para proteger los
derechos de autor del material que se almacena en
ellas (pe. CPRM Copyright Protection for Recordable
Media- en memorias SD).
118
Ejemplos de tarjetas de memoria

Nombre
Sigla
Tamano
Nombre
Sigla
RS-MMC
16 24
1.5 mm
MMCmicro
12 14
1.1 mm
SD
32 24
2.1 mm
miniSD
21.5 20
1.4 mm
PCMCIA
85.6 54
3.3 mm
Reduced Size
Multimedia
Card
CompactFlash I
CF-I
43 36
3.3 mm
MMCmicro
Card
CompactFlash II
CF-II
43 36
5.5 mm
Secure Digital
Card
SmartMedia
SM /
SMC
45 37
0.76 mm
miniSD Card
PC Card
Tamano
Memory Stick
MS
50.0 21.5
2.8 mm
microSD Card
Memory Stick
Duo
MSD
31.0 20.0
1.6 mm
xD-Picture
Card
xD
20 25
1.7 mm
Memory Stick
Micro M2
M2
15.0 12.5
1.2 mm
Intelligent
Stick
iStick
24 x 18 x
2.8 mm
32 24
1.5 mm
card
card
32 x 24 x
1 mm
Multimedia Card
MMC
237
Fuente:
Wikipedia
microSD
11 15
1 mm
Seguridad en los dispositivos de

almacenamiento mvil
238
De afuera hacia dentro

Revisin en punto de control de acceso (con serias dudas de su
eficacia).
Deshabilitacin de puertos en computadoras
Uso de terminales tontas
119

almacenamiento mvil
239
De dentro hacia afuera

Uso de cifrado de la informacin almacenada.
Por software (depende del sistema operativo y aplicacin que se
utiliza).
Por hardware

almacenamiento mvil
240
De cualquier modo
Evitar el almacenamiento de informacin sensible en estos
dispositivos.
Evitar insertar cualquier tipo de pendrive en las computadoras
(uno nunca sabe donde estuvieron o que pueden hacer ie. Ataque
llamado pod slurping).
120
241
Seguridad en Telfonos Inteligentes

242
121
Fabricantes de SmartPhones
Palm
3Com
Casio
Handspring
HP
Microsoft
Philips
Sony
Samsung
Nokia
NEC
IBM
T-mobile
243
Sharp (Linux)
AudioVox
Franklin
Dell
Viewsonic
Toshiba
RIM
Razor
Handera
Motorola
Kyocera
Garmin
Mac
Un problema
244
Como administrador de red, me gusta almacenar
todas las IPs de mi red en mi PDA.

Yo guardo todos mis nombres de usuario y
contraseas en mi PDA para que siempre estn
conmigo
Almaceno algunos de los datos de mis pacientes en
mi PDA
Soy chofer de camin, en la PDA guardo mi
informacin de viticos, tiempos y mapas
122
Riesgos
245
Compromiso del dispositivo, y a partir de l, de la
infraestructura TI.
Localizacin del usuario sin su consentimiento.
Intercepcin de informacin y de llamadas.
Robo y extravo del equipo.
Uso no autorizado.
Falta de gestin de respaldos.
Acceso no autorizado a servicios de red interna.
Propagacin de cdigo malicioso (virus).
Aplicaciones Maliciosas
246
El 50% de las aplicaciones gratuitas Android ponen

en peligro la privacidad
Spy mvil - el primer software espa para iPhone & iPad de
Apple de uso comercial.
Se instala una aplicacin en el equipo.
El sistema enva informacin como:
Posiciones GPS cada 30 minutos
cuando la seal est disponible.
Mensajes SMS
Llamadas
Archivos almacenados
Etc.
123
Programas espa de uso comercial

247
Agosto
http://www.mobile-spy.com/iphone.html
2014. Seguridad Informtica
Contraseas de Acceso
248
Limitar el nmero de intentos elimina la

posibilidad de probar diferentes
contraseas.
El equipo presentar advertencias y se
deshabilitar cuando se ingresen ms de
5 contraseas no vlidas.
124
Seguridad web
249
Recientemente, el Hacker Comex desarroll un sito

web que aprovechaba un error de programacin en
sistema IOS 4, para instalar aplicaciones del atacante,
generando una alteracin en el sistema operativo del
iPad.
Algunos Controles
250
1.
2.
3.
4.
5.
Restringir el uso de aplicaciones.

Configurar bloqueo automtico (cada 10 mins. de
inactividad), uso de contrasea de acceso, autodestruccin de
informacin despus de varios intentos de acceso fallidos (20)
y el cifrado de informacin almacenada.
Configurar la seguridad del navegador instalado en el equipo
para evitar la ejecucin de cdigo que pudiera ser malicioso.
Configurar el respaldo durante la sincronizacin del dispositivo
con la computadora para evitar la prdida de informacin
por extravo o dao.
Instalar certificados de autenticacin.
125
Desarrollo de software
251
Actividades 16 y 17
252
16. En su servidor Apache, probar SkipFish

https://code.google.com/p/skipfish/
17. En su servidor Apache, probar FindBugs
http://findbugs.sourceforge.net/
126
AVANCE DE PROYECTO
253
La prxima sesin se dar un avance del proyecto
5. Seguridad en redes
254
ESTRATEGIA DE PROTECCIN
SEGMENTACIN DE REDES
PAREDES DE FUEGO (FIREWALLS)
DETECTORES DE INTRUSOS
REDES INALMBRICAS
127
Repaso de Redes
255
Modelo OSI
256
Aplicacin
Presentacin
Sesin
Transporte
Red
Enlace
FTP, SNMP, SMTP.

ASCII, JPEG, MPEG.
NFS, SQL, RPC.
TCP, UDP.
IP, ICMP.
ARP, RARP, PPP
Fsica
128
Modelo TCP/IP
257
Aplicacin: aplicaciones y procesos que usan la red.

Protocolos: SMTP, HTTP, FTP, Telnet. Tambin se encuentra el DNS.
Transporte: provee servicios de entrega/recepcin a capa de
aplicacin.
Protocolos: TCP, UDP.
Internet: ruteo de paquetes a travs de las redes.

Protocolos: IP, ICMP.
Acceso a Red: acceso fsico a redes.
Aplicacin
Transporte
Internet
Acceso a Red
258
129
Modelo TCP/IP
Protocolos Capa Transporte

259
TCP:
Conexin full duplex, confiable, orientado a conexin (circuito
virtual), lento.
Ejemplo: telnet.
UDP:
No orientado a conexin, no confiable, rpido.
Ejemplo: video, voz.
Modelo TCP/IP

260
Servicio
TCP
UDP
Confiabilidad
Se asegura que el paquete llegue

a su destino; regresa ACK cuando
un paquete es recibido.
No regresa ACK y no garantiza

que un paquete llegue a su
destino.
Conexin
Orientado a conexin; efecta

handshake; crea conexin
virtual.
No efecta handshake y no crea

conexin virtual.
Secuencia
Numera los paquetes (dentro del

encabezado del paquete) para
asegurar que el paquete lleg.
No numera paquetes.
Congestin
El destinatario puede avisar al

receptor que disminuya el envo
de paquetes porque lo abruma.
No hay control de flujo.
Velocidad/
Desempeo
Lento, bajo desempeo.
Rpido, alto desempeo.
130
Modelo TCP/IP

261
TCP Handshake
SYN: el emisor inicia la comunicacin con un mensaje
synchronous.
SYN/ACK: el receptor responde con un mensaje
synchronous/acknowlege.
ACK: el emisor responde con un mensaje acknowlege.
Modelo TCP/IP
Puertos Capa Transporte

262
Puerto 21: FTP.
Puerto 22: SSH.

Puerto 23: Telnet.
Puerto 25: SMTP.
Puerto 53: DNS.
Puerto 79: finger.
Puerto 80: HTTP.
131
263
264
132
Modelo TCP/IP
Protocolos Capa Internet

265
IP:
Equipos en red cuentan con una identificacin lgica:
direccin IP.
Protocolo encargado de ruteo.
Cada paquete cuenta con direccin IP fuente y destino.
Provee servicio no confiable.
Fue
recibido?
slo una vez?
Recibido en orden?
Recibido
Topologas Fsicas
Topologa BUS
Paquetes recibidos
por todos los equipos
Topologa RING
Transmisin
unidireccional
Topologa STAR
Equipos conectados
a un dispositivo central
Hay una diferencia entre topologas fsicas y lgicas: una red puede ser configurada
fsicamente como una estrella, pero funcionar lgicamente como ring.
266
133
Topologas Fsicas
267
Topologa
Caractersticas
Problemas
Tecnologa
Bus
Usa un solo cable para todos los

equipos; cada uno de ellos puede
ver todo el trfico.
La falla en un punto
afecta al resto.
Ethernet
Ring
Todos los equipos son conectados

unidireccionalmente e un anillo.
afecta al resto.
FDDI (Fiber Distributed

Data Interface)
Star
Todos los equipos se conetcan a

un dispositivo central.
Dispositivo central como

punto nco de falla.
Ethernet
Tree
Topologa bus que usa ramas

en lugar de un solo cable.
afecta al resto.
Ethernet
Mesh
Todos los equipos se conectan

entre s.
Ms cosotoso ($);
dificultad en encontrar
problemas
Internet
(Ejemplo)
268
134
Mecanismos de Proteccin
269
La seguridad no es puntual sino un proceso en espiral

Se requiere de seguridad tipo cebolla
Son necesarias diferentes capas para proteger la informacin
La informacin mas sensible generalmente es la que se
encuentra mas al interior.
Seguridad Perimetral
270
Protege una red privada de una pblica mediante
filtros, los cuales bloquean comunicacin no deseada

Lo primero que se debe conocer son los bordes y zonas
sensibles de la red
Los firewalls (paredes de fuego) y los ruteadores forman
la primera lnea de defensa
135
Esquema general
271
FIREWALL
Red
Privada
Red
Pblica
FTP
WWW
SMTP/POP
Zona Desmilitarizada
(DMZ)
Agosto 2014.
Esquema Dual
(Belt & Suspenders)
272
Firewall-A
Firewall-B
Red
Privada
Red
Pblica
FTP
WWW
SMTP/POP
Zona Desmilitarizada
(DMZ)
Agosto 2014.
136
Tipos de Firewalls
273
Filtrado de Paquetes (Packet Filter)

Revisa de la capas OSI 1-4
Ej.
IP, puertos y protocolos
Permite la comunicacin si las direcciones, puertos o protocolos son

vlidos segn las reglas configuradas
Desventajas
Son susceptibles al robo de direcciones
No tienen control sobre el contenido
Tipos de Firewalls
274
Filtrado de Aplicaciones
Forman los llamados Proxy
Las reglas de acceso son ms granulares
No permiten el acceso directo a servicios sino actan como
intermediario
Desventajas
Degradan la velocidad de acceso
Se requiere un proxy especial para cada servicio
Requieren una gran inversin de tiempo, dinero y esfuerzo
137
Reglas de Filtrado
275
Las reglas deberan ser la traduccin tecnolgica de las
normas.
Siempre se sigue el principio de todo lo que no est
explcitamente permitido, est prohibido.
IP ORIGEN
IP DESTINO
PROTOCOLO
*
148.241.*.*
*
148.241.15.3
*
*
TCP
TCP
*
PUERTO
ORIGEN
*
*
*
PUERTO
DESTINO
80
80
*
ACCIN
Allow
Allow
Deny
Ms sobre las Reglas

Usuario
Interno
276
Usuario
Externo
Red
Privada
Base de
datos
Firewall
Internet
Red
Pblica
Inicio de sesin
permitida
Servidor
Zona DesmilitarizadaAgosto
Inicio de sesin
denegada
2014. Seguridad Informtica
138
Firewalls Personales
277
En el lmite, una red segura puede ser nicamente la PC.

El usuario solamente confa en su propia computadora.
Las tendencias marcan que esta funcionalidad se
fusionar prximamemente con la de antivirus y la del

detector de intrusos.
Inconvenientes de la
seguridad perimetral
278
Falso sentido de seguridad

Resulta peor no tener firewall a tener uno pero mal configurado
Efecto Huevo
Duro por fuero pero blando por dentro
Puertas traseras
Mdems desprotegidos en escritorios (para los work-a-holics).
139
Puertas traseras
279
Actividad 18
280
Probar Iptables
2. Resolver el siguiente problema con IPTables
1.
ECHO a A
PING de A
PING de B
OUTPUT2
DROP
140
Detectores de Intrusos
281
Detectores de Intrusos
282
Es un dispositivo que determina mediante reglas
especficas si existe un ataque a un sistema.

Se les conoce generalmente como IDS (Intrusion
Detection Systems).
Existen dos tipos bsicamente:
De sistema (ej. para un sistema operativo)

De red (ej. para Ethernet)
141
Problemtica de los IDS

283
Requieren de un periodo largo de afinacin para poder
minimizar los falsos positivos.

Es necesario conocer lo que es normal para poder
determinar lo que es anormal.
Existe una tendencia mayor al outsourcing de estos
mecanismos dado el nivel de atencin que requieren.
Basados en Host
284
Protegen a una mquina ante ataques (Host IDS).
Por bitcora
Solamente procesa la informacin que se almacena en las
bitcoras del sistema operativo.
Representa un mecanismo post-mortem
Por stack
Se instala entre la tarjeta de red y el stack de TCP/IP.
Presentan una funcin ms preventiva.
142
Basados en Host
285
M anager
(3 )
Agent
P ro c e s s in g
(2 )
(D e te c tio n E n g in e )
S to ra g e
(5 )
E ve n t
(1 )
A la r m s &
(4 )
(6 )
K n o w le d g e
R esp onse
B ase
Basados en Host
286
Ventajas:
Detecta ataques directos al sistema (bitcora)
Puede venir en un canal cifrado
No afectado por volmenes transmitidos en la red
143
Basados en Red
287
Escuchan en el cable y determinan si los paquetes
capturados constituyen un ataque (Network IDS).

Modelo por firmas
Capturan todo el paquete y lo comparan contra firmas

conocidas de ataques.
Modelo por formacin de paquete

Conocen cmo se forma un paquete y slo comparan las
partes que podran constituir un ataque.
Basados en Red
288
Host 'A'
Host 'B'
Network Agent
installed in Hos t 'A'
Network Agent
installed in Host 'B'
Segment 'A'
Router 1
Printer
Segment 'B'
Router 2
Router 3
Database
Workstation
W orkstation
File Server
144
Basados en Red
289
Ventajas:
Independiente de Sistemas Operativos
No consume recursos del sistema
Un agente monitorea todo un segmento
Detecta antes de consumado el ataque
Host 'A'
Host 'B'
N etwor k A gent
ins talled in H os t ' A'
N et w ork A gen t
ins talled in Hos t 'B '
S eg ment 'B '
Segm ent ' A'

R oute r 1
Printer
R ou ter 2
W orkstation
File Server
R ou ter 3
Dat abase
W orkstation
Productos IDS
290
Hoy en da hay muchos jugadores en el mercado y se
espera que se consolide en un futuro cercano:
Symantec
ISS (Internet Security Systems)
Cisco
Computer Associates
De distribucin libre (como snort)
y muchos ms!!!
145
IPS
291
Intrusion Prevention Systems (IPS)

IPS: el siguiente paso en la evolucin del IDS
Bsicamente combina las capacidades de bloqueo de un
firewall con la inspeccin de un IDS
Un IPS es un dispositivo (hardware o software) que tiene la
capacidad de detectar ataques (conocidos y desconocidos) y
prevenir que el ataque sea exitoso
Es una nueva tecnologa; todava no hay una definicin
exacta de qu es un IPS (algunas compaas combinan al
firewall, IDS, antivirus y examinador de vulnerabilidades
diciendo que es un IPS)
Redes Inalmbricas
292
146
Conexin Inalmbrica
293
Actualmente es comn el uso de dispositivos que se
comunican unos con otros sin necesidad de cables:
Redes inalmbricas en casa, cafs internet, salas en aeropuertos,

oficinas, etc.
Transmisin va celular de mensajes, navegacin, etc.
Comunicacin inalmbrica con manos libres, transmisin de datos
a equipos, PDAs, etc.
Conexin Inalmbrica
294
Las ventajas de tener conexiones inalmbricas
generalmente son claras:
Mayor flexibilidad (movilidad)

Mayor rapidez en la implantacin
Reduccin de costos de infraestructura
Cada vez mayor integracin de dispositivos
Menores costos de mantenimiento
147
Conexin Inalmbrica
295
Aunque an presentan algunas desventajas como por
ejemplo:
Velocidades menores que su contrapartes alambradas.

Susceptibles al medio ambiente (p.e. lluvia, tormentas elctricas,
etc.)
Los protocolos de seguridad estn en etapa de maduracin.
Wi-Fi
296
148
Qu es Wi-Fi?
297
Es un conjunto de estndares para redes locales
inalmbricas basadas en las especificaciones de los

estndares IEEE 802.11x.
Actualmente los estndares ms utilizados son IEEE
802.11b y802.11g, que ofrecen un ancho de banda que
va desde 1 hasta 54 Mbps y que hacen uso de una
parte del espectro electromagntico que est
disponible en la mayora de los pases, por lo que
gozan de una buena aceptacin a nivel mundial.
Este tipo de redes es utilizado normalmente para
proporcionar la conexin a Internet a los usuario
localizados cerca de esta red.
Ataques principales Wi-Fi

298
Capa fsica (aire).- Se puede inundar el espectro

correspondiente con ruido y trfico ilegtimo. Ejemplo: telfonos
inalmbricos, hornos de microondas, etc.
Capa de enlace.- Si se clona la direccin fsica (MAC) de un
cliente y se incrementa el nivel de la seal, se le puede negar la
conexin.
Puntos de acceso falsos.- El cliente es generalmente
configurado para asociarse con el AP con mayor intensidad de
seal, por lo que se puede falsificar el SSID del AP, lo que
implica que el cliente se conectar a un AP falso o impostor.
Man in the middle .- Reciben informacin y la manipulan sin
que se d cuenta el usuario.
149
Tipos de encripcin Wi-Fi

299
El estndar 802.11 define mltiples tipos de encripcin.

Tipo
Llave
Nivel de
seguridad
Obtencin de
la llave
Abierta
Ninguna
N/A
No se
requiere
WEP
Pre-Shared Key (PSK)
Bajo
Posible
WPA (Wi-Fi Protected Pre-Shared Key (PSK)

Access) o WPA2
(personal)
Medio
Posible
WPA o WPA2
(empresarial)
Alto
Posible en
algunos casos
Extensible Authentication
Protocol (EAP)
Wi-Fi WEP
300
Wired Equivalent Privacy (WEP), como su nombre lo
indica, se dise para brindar un nivel de seguridad

similar al de una red alambrica, lo cual no es suficiente.
Con el propsito de entender los problemas de seguridad
que presenta WEP, es importante conocer cmo
funciona en su actual implementacin.
150
RC4 en WEP
301
Fue diseado por Ron Rivest en 1987 para la compaa
RSA Data Security.

Es un algoritmo ampliamente utilizado en muchas
aplicaciones de tipo comercial Ejemplo: HTTPS.
Utiliza la encripcin por flujo; es decir, a travs de una
semilla se genera una secuencia seudo aleatoria de igual
longitud que el mensaje, que se combinan mediante
una funcin simple y reversible para encriptar el
mensaje
Vectores de inicializacin WEP

302
Los vectores de inicializacin son utilizados para
asegurar que el valor usado como semilla en RC4 sea

siempre diferente.
Cabe sealar que el protocolo 802.11 no especifica cmo
generar los vectores de inicializacin.
Los vectores de inicializacin tienen una longitud de 24
bits, lo cual implica 16,777,216 valores diferentes.
151
Vectores de inicializacin WEP

303
RC4 indica claramente que nunca se debe de reutilizar
la misma llave.
Cada paquete que viaja por la red requiere de una
semilla diferente para encriptarlo con RC4, lo que
implica que en una comunicacin con cierto trfico, los
vectores de inicializacin se repetirn en cuestin de
horas, violando de esta forma la especificacin de RC4
de nunca repetir una llave.
Llaves WEP
304
El tamao de las llaves en WEP son de 64 y 128 bits.
Sin embargo, esta llave est formada por el vector de
inicializacin y la llave compartida por los interlocutores.

Debido a que el vector de inicializacin es de 24 bits,
esto implica que la llave compartida tiene un tamao
de 40 y 104 bits respectivamente.
152
Ejemplo de Configuracin WEP

305
SEGURIDAD
SEGURIDAD
SEGURIDAD
Funcionamiento WEP
306
153
307
Lo nuevo
308
154
Actividad 19
AVANCE DE PROYECTO
309
6. Prevencin y Respuesta a
Incidentes
310
PREVENCIN
DISPONIBILIDAD
P L AN D E C O N T I N G E N C I A
R E S P U E S TA A I N C I D E N T E S
AN L I S I S F O R E N S E
155
Planes para
Incrementar la Disponibilidad
311
Planes para la Disponibilidad

312
Plan de Contingencia
Plan maestro a nivel organizacional para la disponibilidad
(generalmente contiene a los tres siguientes).
Plan de Respaldo
Plan preventivo para estar en condiciones de seguir
operando a pesar de presentarse algn incidente.
Plan de Continuidad del Negocio
Plan que se ejecuta durante o inmediatamente despus del
incidente para mantener la operacin y servicios.
Plan de Recuperacin ante desastres
Plan para regresar a la operacin normal despus de un
incidente mayor.
156
Niveles de Disponibilidad
313
Costo ($)
Entre mayor es la inversin,

menor es el tiempo de recuperacin
Tiempo (t)
314
El plan de contingencia se ocupan en caso de una
emergencia que afecte al negocio de forma negativa.

No es preventivo; se asume que sucede lo peor.
Est diseado para proteger procesos crticos del
negocio de desastres naturales o hechos por personas
para evitar prdida de dinero a causa de la no
disponibilidad de los procesos normales del negocio.
Trata de minimizar el efecto de disturbios/desastres
(intencional o no) y permitir que la organizacin se
reponga
157
315
Los planes abarcan las reas crticas como por
ejemplo:
Redes locales y servidores

Enlaces de telecomunicaciones
Estaciones de trabajo
Aplicaciones, softwre y datos
Medios de almacenamiento
Procesos de produccin
La prioridad nmero es la integridad del personal

Siempre debe contar con el apoyo gerencial.
316
DPCP (Data Processing Continuity Planning) realiza los planes
para procesar los datos de forma alterna en caso de

contingencia.
Hot Site: consisten en tener instalaciones totalmente equipadas (energa

elctrica, aire acondicionado, servicios de telecomunicaciones, servidores,
etc.) con el fin de poder trasladar los procesos crticos de la organizacin y
minimizar la falta de disponibilidad. Crea un espejo del sistema de
produccin.
Warm Site: similar al hot site, pero las aplicaciones no estn instaladas y
las que estn no tienen la configuracin necesaria. En caso de
contingencia, se instalan las aplicaciones necesarias y se configuran.
Cold Site: cuenta con un espacio fsico vaco para que se traigan servidores
y dems equipos. Cuenta con energa elctrica y aire acondicionado, pero
no forzosamente cuenta con con servicios de telecomunicaciones
158
317
El Plan de Contingencia debe de:

Probarse peridicamente a fin de comprobar que
efectivamente cumple con su objetivo
Contar (idealmente) con personal capacitado que forme un
equipo de recuperacin, con el fin de implementar los
procedimientos de recuperacin
Cundo acaba un desastre?
Acaba cuando todas las operaciones crticas y no crticas han
regresado a su normalidad tanto fsica como lgicamente y
cuando todos los datos han sido certificados como vlidos.
Plan de Respaldos
318
Respaldos (backup)
Mtodos de resplado va cintas
Es
objetivo es restaurar informacin perdida, corrupta o borrada,

preservando as la integridad de la informacin.
Tres mtodos principales:

Total
Incremental
Diferencial
159
Plan de Respaldos
319
Backup (cont.)
Backup total:cada vez que se ejecuta, este mtodo realiza un
respaldo completo de cada archivo del sistema.
Backup incremental:este mtodo nicamente copia archivos que
han sido recientemente aadidos o modificados
Backup diferencial: este mtodo nicamente hace copias de
archivos que han cambiado desde que se efectu un backup total
Plan de Respaldos
320
Redundancia
Se refiere a que exista informacin duplicada con el fin de
proveer alternativas en caso de que un componente falle
RAID (Redundant Array of Inexpensive Disks)
Su propsito principal es proveer tolerancia al fallo (fault
tolerance) y proteccin en caso de una falla del servidor o del
disco (server/disk crash)
Hay diez niveles de RAID (veremos tres)
160
Plan de Respaldos
321
RAID Nivel 0: crea un solo disco lgico usando varios discos

fsicos (desventaja: qu pasa si un disco fsico falla?)
RAID Nivel 1: se le conoce como mirroring. Copia la
informacin de un disco hacia otro disco, creando un espejo
del disco original
RAID Nivel 5: se usa la tcnica de divisin (striping). Esta
actividad divide y escribe los datos en los diferentes discos. La
informacin de la paridad se escribe en cada disco (si un disco
falla, la informacin de paridad se usa para reconstruir la informacin del

disco). Los discos son hot swappable (pueden ser reemplazados
mientras el sistema sigue funcionando)
Respuesta a Incidentes
322
161
Evolucin de incidentes
323
Urgencia: Rpido
Emergencia: Rpido y grave
Contingencia: Rpido, grave y grave para otros
Crisis: Evoluciona en otros mbitos (ej. Se multiplica y
diversifica)
324
El objetivo primario de la respuesta a incidentes es
mitigar y reparar cualquier dao causado por un

evento y revenir ms dao.
Sin procedimientos de respuesta a incidentes, los
individuos mejor intencionados pueden hacer que la
situacin empeore al daar evidencia, sistemas o al
multiplicar cdigo malicioso
Es importante que los usuarios sepan cmo reportar
los incidentes de una forma centralizada y fcil de
efectuar.
162
325
Identificacin
Determinar qu pas
Contencin
Determinar el dao causado
Solucin
Seguimiento
Prevencin y preparacin para el futuro
Accin disciplinaria / seguimiento legal
Lecciones aprendidas y mejoras
Anlisis Forense
326
163
Dudas comunes
327
Quin modific mi pgina web?

Cmo me infect de un virus informtico?
Por dnde entraron a mi red de computadoras?
Quin me envi ese correo?
Cmo puedo recuperar archivos borrados?
Quin us mi computadora?
Qu programas fueron instalados en mi ausencia?
... y muchas otras ms!
Cmputo Forense
328
En la actualidad, el cmputo forense es una
herramienta que nos apoya a realizar la tarea de

investigacin en el mundo tecnolgico en el que vivimos.
Nos ayuda a encontrar algunas respuestas de las
preguntas relativas a un ilcito:
Quin?
Qu?
Cmo?
Cundo?
Dnde?
164
Definicin
329
El cmputo forense es el proceso de aplicacin de
tcnicas cientficas y analticas a infraestructura de

cmputo para identificar, preservar, analizar y
presentar evidencia relevante a una situacin en
investigacin (Kovacich).
Evidencia electrnica
330
La evidencia electrnica es la parte medular del
cmputo forense.
Eliminarla no siempre es fcil, encontrarla tampoco.
Los datos son como los fsiles: Puede faltar algn hueso
del cuerpo, pero el fsil an tiene mucho que revelar.
165
El ambiente legal
331
El cmputo forense per se no es reconocido en la
legislacin mexicana, pero sirve de apoyo para analizar

todo tipo de delitos tipificados en la ley:
Homicidio, Fraude, Amenazas, etc.

Delitos informticos (Cdigo Penal Federal, Artculo 211)
Plagio, Piratera, etc. (Ley Federal del Derecho de Autor)
Proteccin de datos personales (Legislacin estatal)
En Mxico, instituciones como la PGR, la PGJ y la SSP
cuentan con personal dedicado al cmputo forense.
Polica Ciberntica de la SSP.
Metodologa Bsica
332
Identificar la evidencia.
Dnde puede estar? Dentro de una computadora, en discos
removibles, telfonos mviles, proveedores de servicios, etc.
Adquirir y preservar lo encontrado.
Cmo extraerla sin modificarla? Se debe obtener evidencia:
autntica, correcta, completa, admisible e irrefutable.
Analizar los hallazgos.
Cmo completar el cuadro? Correlacionar los eventos entre ellos y
de acuerdo al caso.
Presentar los hechos
Cmo describir lo encontrado? Basarse en hechos, no en
interpretaciones.
166
Aplicaciones tiles
333
Libres: Sleuth, PC Inspector File Recovery, The Cornoners
Toolkit.
Comerciales: EnCase, FTK, Easy Recovery Professional,
File Scavenger.
El cuerpo del delito

334
Lo primero es lo primero. Y lo primero es obtener una
copia fiel del cuerpo del delito.

Las copias deben ser exactas (bit por bit) para mantener
la integridad de los datos.
Esta es una de las partes ms importantes y sensibles del
proceso forense pues todo es susceptible de modificarse:
Si est apagado, no prenderlo.

Si est prendido, no apagarlo.
167
335
Recuperacin de archivos eliminados

336
Los archivos no siempre son eliminados totalmente. La
mayora de las veces slo se elimina el apuntador al

archivo, ms no el propio archivo.
En este caso se utilizan herramientas que obtienen de nuevo el

apuntador.
Si el archivo fue borrado, se podr utilizar el espacio
liberado y se podr sobreescribir nuevos datos.
En este caso se debe reconstruir el archivo mediante seales

conocidas de inicio o final, buscando bloque por bloque el siguiente
tramo de informacin.
Entre ms se sobreescriba, ms difcil ser la
recuperacin.
168
337
Historial de Internet
338
Todos los navegadores guardan un historial de las
pginas visitadas a travs de :
Archivos temporales (cach), archivos de historial y cookies.
Las cookies ayudan al navegador a identificar al
usuario, personalizar su pgina de entrada y/o

recolectar informacin de su visita.
Adicionalmente se puede:
Conocer qu y cundo se visit una pgina

Saber si el usuario escribi la direccin o lo redirigieron.
Reconstruir la pgina visitada.
169
339
Uso de la PC
340
Generalmente las computadoras guardan registros de su
actividad, por ejemplo:
quin y cundo accedi un usuario?

qu archivos modific/elimin/consult?
qu programa instal (o desinstal)?
Por ejemplo, en el ambiente Windows, algunos datos se
pueden consultar en el Registry y otros en el visor de

eventos.
El administrador del sistema debe decidir qu, cules y
por cunto tiempo se guardan esos registros.
Es un balance entre desempeo y registro en bitcoras.

170
341
Correo Electrnico
342
El correo electrnico puede enviarse o recibirse por dos
maneras:
Cliente en la PC (pe. Outlook)

Cliente en Internet (pe. Hotmail)
La clave para determinar el origen est en los
encabezados. Desafortunadamente no siempre estn

completos.
Algunos clientes eliminan parte de los encabezados.
Tambin existen servicios en internet para el envo de
correos annimos (pe. www.anonymouse.org).

171
343
Retos
344
El cmputo forense se ha convertido en una herramienta
indispensable en la investigacin de los delitos actuales

(fsicos o lgicos).
Se requiere de mayor capacitacin y profesionalizacin
del personal que realiza el servicio forense.
Un mal servicio es peor que no tenerlo.
Es muy importante la participacin de los proveedores
de servicios (pe. ISP de Internet, Telefnicas, etc.) y

administradores.
Potencialmente todo puede estar, slo falta que est escrito.

172
7. Legislacin
345
L E G I S L A C I N E N M AT E R I A D E
SEGURIDAD INFORMTICA
EST NDARES DE SEGURID AD
N O R M AT I V I D A D I N T E R N A
PROGR AM AS DE CONCIENT IZ ACI N
P R O C E S O S D E AU D I T O R I A
Regulacin Aplicable
346
El profesional de seguridad debe observar las siguientes
regulaciones para que sus sistemas de seguridad

cumplan con ellas:
Regulacin Internacional
Regulacin Nacional
Regulacin Organizacional
Asimismo, se podr apoyar en estndares y buenas
prcticas.
173
347
348
Aunque al da de hoy es poca la regulacin
internacional sobre proteccin de sistemas, las empresas

transnacionales podran observar:
Sarbanes-Oaxley (SOX) para compaas que cotizan en bolsa

HIPAA para organizaciones del sector salud
Basilea II para bancos centrales
174
SOX
349
Creada en 2002 tiene por objetivo de incrementar la
exactitud y autenticidad de los reportes econmicos con

el fin de proteger los intereses de los inversionistas.
Busca evitar corrupcin y penalizar a las empresas que
cometan fraude en sus estados de cuenta:
Casos: Enron, WorldCom.
SOX
350
Est dirigido a todas las empresas que reportan
ganancias US$ 75 millones de dlares o ms.

La inmensa mayora de las entidades en EUA
deberan haberlo cubierto en 2005.
De no cubrir esta ley, el personal de alto nivel de las
compaas podran ser penalizadas con crcel, penas
econmicas y hasta con el reembolso de las ganancias
ilcitas a inversionistas.
175
SOX
351
La seccin 404 de SOX requiere que el alto mando
establezca y mantenga controles internos adecuados

para realizar sus reportes financieros, as como
auditarlos anualmente.
Esto ha implicado que las empresas han implantado
controles de seguridad para brindar integridad,
confidencialidad y disponibilidad a los procesos
financieros.
Se recomienda cumplir con arquitecturas de seguridad
basadas en estndares y mejores prcticas (pe. ISO
27001, COBIT, etc).
Regulacin Nacional
352
176
Regulacin nacional
353
Algunas leyes mexicanas aplicables:

Ley Federal de Transparencia y Acceso a la Informacin Pblica
Gubernamental
Ley de Proteccin de Datos Personales en Posesin de Particulares
Cdigo Penal Federal
Actualmente se est buscando crear un marco jurdico
ms fuerte sobre la proteccin de la informacin en

Mxico.
LFTAIPG
354
Se public en el DOF el 12 de junio de 2002.
Promueve los lineamientos para promover una
cultura de transparencia y acceso a la informacin.
Especifica obligaciones, responsables,, clasificacin, formas de

acceso, tiempos de respuesta, etc.
Clasifica la informacin en tres grandes rubros:

Pblica
Reservada
Confidencial
177
355
LPDPPP
356
Se public en el DOF el 5 de julio de 2010.
Su objetivo es regular (el) tratamiento
legtimo,
controlado e informado (de los datos personales), a
efecto de garantizar la privacidad y el derecho a la
autodeterminacin informativa de las personas.
El organismo responsable de vigilar la correcta
implantacin de esta ley es el Instituto Federal de

Acceso a la Informacin y Proteccin de
Datos (anteriormente solo IFAI).
178
LPDPPP
357
El custodio de la informacin debe por ejemplo:

Presentar un aviso de privacidad con la informacin sobre el
tratamiento que se le dar a los datos proporcionados, esto es,
establecer los fines (de forma limitativa) para lo cual requiere los
datos.
Tomar las medidas necesarias y suficientes para garantizar que lo
establecido en el aviso de privacidad sea respetado en todo
momento por l o por terceros con los que guarde alguna relacin
jurdica.
Establecer y mantener medidas de seguridad administrativas,
tcnicas y fsicas que permitan proteger los datos personales contra
dao, prdida, alteracin, destruccin o el uso, acceso o
tratamiento no autorizado.
LPDPPP
358
En caso de que desee compartir la informacin custodiada

con terceros (nacionales o extranjeros), deber comunicarles
la poltica de privacidad que acept el titular. Dicho tercero
deber acatar la misma poltica.
Informar de manera inmediata al titular sobre incidentes de
seguridad que pudieran poner en riesgo la confidencialidad
de los datos proporcionados a fin de que este ltimo pueda
tomar las medidas correspondientes a la defensa de sus
derechos.
179
LPDPPP
359
En caso de incumplimiento, las multas rondarn los 5
aos de prisin y 18 millones de pesos.

El usuario tambin adquiere obligaciones al tener que
leer el aviso de privacidad y aceptarlo o, en caso,
rechazarlo.
Ha ledo las polticas de privacidad

de los sitios que visita?
Cdigo Penal Federal en materia de Delitos

Informticos
360
El Cdigo Penal divide en 3 categoras a los delitos
informticos:
a) Tipo genrico ( 3 meses a 2 aos)
b) del Estado ( de 6 meses a 8 aos)
c) del Sistema Financiero (3 meses a 4 aos)
180

Informticos
361
Delitos Informticos
TITULO NOVENO
Revelacin de secretos y acceso ilcito a sistemas y equipos de informtica
CAPITULO II
Acceso ilcito a sistemas y equipos de informtica

Informticos
362
A) TIPO GENERICO
Artculo 211 Bis 1.- Al que sin autorizacin modifique,

destruya o provoque prdida de informacin contenida
en sistemas o equipos de informtica protegidos por
algn mecanismo de seguridad, se le impondrn de seis
meses a dos aos de prisin y multa de cien a trescientos
das.
181

Informticos
363
Al que sin autorizacin conozca o copie informacin

contenida en sistemas o equipos de informtica
protegidos por algn mecanismo de seguridad, se le
impondrn de tres meses a un ao de prisin y multa de
cincuenta a ciento cincuenta das.

Informticos
364
Artculo 211 bis 7.- Las penas previstas en este

captulo se aumentarn hasta en una mitad cuando la
informacin obtenida se utilice en provecho propio o
ajeno.
182
Intento por regular el Sector Pblico
365
366
183
Regulacin Organizacional
367
Normatividad Interna
368
Polticas
Normas
Controles
+
Procedimientos
184
369
Poltica de Seguridad:
Documento que expresa el nivel de riesgo que una empresa est
dispuesta a correr
Representa la filosofa de seguridad de la organizacin
Debe ser perdurable en el tiempo, breve, clara y con respaldo de
alto nivel
370
Norma:
Son documentos que expresan los lineamientos generales que
debe cumplir la tecnologa para proteger la informacin
Son independientes de la herramientas que se utilicen pero
ayudan a determinar qu tecnologa es aceptada
Debe ser propositiva y seguir el principio del menor privilegio
Especifica responsables, excepciones y sanciones
185
371
Controles:
Son las herramientas tecnolgicas que implantan los lineamientos
expresados en las normas
Tienen una relacin M:N con respecto de las normas
Son administrados por personal especializado
372
Procedimiento:
Contiene los pasos detallados (especficos) que deben de ser
seguidos para cumplir un objetivo.
Estos pasos o acciones detalladas son las que debern ser seguidas
por el personal.
Implementan las polticas de seguridad, las normas y los controles
que fueron previamente creados.
186
373
Ejemplo:
Poltica
Toda la informacin debe ser catalogada segn su nivel de sensibilidad
Norma de correo electrnico

La informacin sensible solamente podr ser transmitida si es firmada
electrnicamente
Control
Uso de PGP (Pretty Good Privacy)
Procedimiento
Pasos para configurar PGP en Outlook
Estndares de Seguridad
374
187
375
Mtodos de Evaluacin de Sistemas

Una evaluacin de seguridad examina las partes relevantes
del sistema, desde el punto de vista de la seguridad.
Es decir, la evaluacin revisar:
TCB
Mecanismos
Monitor
de control de acceso
de Referencia
Kernel
Mecanismos
de proteccin
etc.
La relacin e interaccin entre estos componentes tambin es

revisada
376
Hay diferentes mtodos para evaluar y asignar niveles
de seguridad y de confianza a los sistemas

La razn es que los mtodos e ideologas han
evolucionado a travs del tiempo y porque los diversos
pases (o regiones) ven la seguridad informtica de
diferente manera
188
377
Es til apoyarse en estndares o guas internacionales
durante el desarrollo de la Poltica de Seguridad.

TCSEC (Orange Book)
ITSEC
Common Criteria
BS 7799, ISO 17799, ISO 27001
TCSEC y Common Criteria

378
189
TCSEC
379
Divisin D
380
No proporciona ningn elemento de seguridad.
til cuando es necesario compartir informacin con
mnimas restricciones.
PCs y Servidores
190
Divisin C
381
Clase C1 (Seguridad discrecional)
Nivel de seguridad bsico.

Razonablemente protegido en ambiente benigno.
Sistema protegido por password.
No hay controles de auditoria
Evidencia de la TCB, operando en un dominio propio, protegido contra
Tampering.
Previene la lectura, modificacin y destruccin de archivos por otro
usuario, quien explcitamente debe negar acceso a sus recursos.
Informalmente probado y documentado (Gua de usuario).
La documentacin de diseo se limita a explicar como la filosofa de la
poltica de seguridad se refleja en la TCB.
Divisin C
382
Clase C2 (Acceso Controlado)

Incorpora todos los requerimientos de C1 incluyendo mejoras
casi en todos los criterios.
Por default el permiso a los recursos es negado y solo es
otorgado bajo la anuencia del propietario.
La TCB y los usuarios dejan rastros de auditoria de sus
acciones, estando stos protegidos
Incorpora el concepto de Reuso de Objetos, que impide el uso
de los objetos an no asignados por la TCB.
Documentacin sobre los mecanismos de proteccin
proporcionados por la TCB: Guas de uso y la forma en que
funcionan sus interfaces.
191
Divisin B
383
Clase B1 (Proteccin por etiquetas)
Control de acceso obligatorio entre sujetos y objetos.

La TCB asigna etiquetas de seguridad a cada objeto y sujeto para poder
aplicar controles de acceso obligatorios (Mandatory).
Toda informacin ingresada al sistema debe ser etiquetada por una
persona con facultades suficientes antes de ser usada
Todo cambio de etiqueta es controlado en forma estricta.
Control del etiquetado de la informacin exportada.
Registros de auditoria a mayor detalle, incluyendo creacin y destruccin

de objetos
Las pruebas de aseguramiento son mas rigurosas
A nivel documentacin requiere una descripcin informal acerca del
modelo de seguridad implantado a travs de la TCB.
Divisin B
384
Clase B2 (Proteccin estructurada)

Se implementa el concepto de Trusted
Path para fines de administracin.
Los mecanismos de autenticacin son fortalecidos.

Control en canales ocultos (Covert Channels).
Control de acceso basado en el principio del menor privilegio.
Incluye herramientas para el administrador del sistema .
Separa elementos crticos y no crticos en la TCB.
Modelo formal de la poltica de seguridad.
El funcionamiento TCB es respaldada por pruebas ms rigurosas.
Un sistema en este nivel es muy resistente a intrusiones.
192
Divisin B
385
Clase B3 (Dominios de seguridad):

La TCB debe satisfacer los requerimientos: Tamperproof,
Completeness, Verifiability.
La TCB debe estar estructurado de tal forma que excluya
funciones no esenciales en la implantacin de la poltica de
seguridad.
Se incluye la figura de administrador de seguridad.
Los mecanismos de auditoria son expandidos para hacerlos
acordes a los requerimientos del modelo de seguridad.
Procedimientos de restablecimiento del sistema.
Divisin A
386
Clase A1 (Diseo verificado ):
Sistema diseado con la seguridad como elemento prioritario.

Sistemas en Clase A1 son funcionalmente equivalentes a los de
la clase B3, ningn requerimiento a nivel arquitectura o
poltica es agregado.
La principal distincin de sta clase son las tcnicas formales
de diseo y verificacin las cuales garantizan un nivel muy
alto de aseguramiento de la TCB.
Modelo
formal de la poltica de seguridad.

matemtica de que el modelo es consistente con sus axiomas.
Control de distribucin de Sw y Hw, desde el punto de manufactura
hasta el usuario.
Prueba
193
Common Criteria (CC)

387
Flexible
No cuenta con perfiles prederterminados.
Permite la adicin de nuevos criterios.
Parte de las necesidades de cada usuario/fabricate
No de las necesidades del DoD.
Cada nueva evaluacin implica la creacin de un modelo o
marco de referencia (Security Target o ST).

Al igual que en el Orange Book la evaluacin se enfoca a los
componentes relevantes desde el punto de vista Seguridad
(Target of Evaluation o TOE).
Comparativo CC vs TCSEC
388
Common
Criteria
Descripcin
Referencia TCSEC
EAL1
Probado funcionalmente
--
EAL2
Estructuralmente probado
C1
EAL3
Metodolgicamente probado
C2
EAL4
Metodolgicamente diseado,
probado, y revisado
B1
EAL5
Semiformalmente diseado y
probado
B2
EAL6
Semiformalmente verificado
(diseo) y probado
B3
EAL7
Formalmente verificado
(diseo) y probado
A1
194
Estndares ISO
389
390
195
Un poco de historia
391
ISO 27001
392
Provee una base comn para el desarrollo,
implementacin y medicin de las prcticas de

administracin de la seguridad.
Fue desarrollado por la industria, para la industria.
196
ISO 27001
393
Define las mejores prcticas en materia de seguridad
informtica.
Establece la seguridad como un proceso holstico, no
solamente como tcnico.
Se basa en el Crculo de Calidad de Deming:
Plan
Do
Check
Act
Modelo PDCA
394
Planear
Partes
interesadas
Actuar
Requerimientos y
expectativas de
seguridad de la
informacin
Partes
interesadas
Establecer
Establecerelel
SGSI
SGSI
Mantener
Manteneryy
mejorar
mejorarelel
SGSI
SGSI
Implementar
Implementaryy Hacer
operar
operarelelSGSI
SGSI
Monitorear
Monitorearyy
revisar
revisarelel
SGSI
SGSI
Revisar
Seguridad de
la informacin
administrada
197
Sistema de Gestin de Seguridad de la Informacin

395
Un SGSI (o ISMS por sus siglas en ingls) representa un
enfoque sistemtico para la administracin de la

informacin para que permanezca continuamente
protegida.
Engloba gente, procesos y sistemas de Tecnologa de
Informacin.
Un SGSI permite la coordinacin efectiva de los
diferentes esfuerzos de seguridad.
Dominios de seguridad
396
Poltica de Seguridad
Organizacin de la Seguridad
de la Informacin
Administracin de activos
Recursos Humanos
Seguridad Fsica y del Medio

Ambiente
Comunicaciones y
Operaciones
Control de Acceso
Adquisicin, desarrollo y
mantenimiento de sistemas
de informacin
Respuesta a incidentes
Continuidad del Negocio
Cumplimiento
198
397
La Serie 27000
398
ISO 27000
Contiene todos los trminos que utiliza la serie para generar
un vocabulario estndar.
ISO 27001
ltima versin publicada en octubre de 2005.
Contiene los lineamientos para el Sistema de Gestin de
Seguridad de la Informacin (SGSI).
Contiene un resumen de controles en su anexo A.
199
La Serie 27000
399
ISO 27002
ltima versin publicada en julio de 2007 (antes ISO
17799:2005).
Contiene 133 controles agrupados en 11 dominios.
ISO 27003:2010
Gua para la implantacin del SGSI desde su concepcin
hasta su puesta en marcha.
ISO 27004:2009
Mtricas para la eficiencia del SGSI y de los controles
aplicados.
La Serie 27000
400
ISO 27005:2008
Directrices generales para la gestin del riesgo. No es una
metodologa en s.
ISO 27006:2007
Requisitos para las empresas auditoras del SGSI de otras
organizaciones.
ISO 27007 (en desarrollo)
Consistir en una gua para auditar un SGSI.
Contendr una gua adicional para auditar un SGSI basado
en el anlisis de riesgo.
200
La Serie 27000
401

Contendr una gua para compartir informacin de
seguridad entre diferentes organizaciones y nacionales
(particularmente sobre infraestructura crtica).
ISO 27011: 2008

Establece directrices para el SGSI en el rea de
telecomunicaciones (en colaboracin con la ITU).
Contendr una gua para proveer seguridad de la
informacin (ISO 27001) en un ambiente de servicios de TI
(ISO 20000-1, servicio derivado de ITIL).
La Serie 27000
402

Describir la forma en que una organizacin puede llevar a
cabo un Gobierno de Seguridad de la Informacin.
Incluir las guas para un SGSI en organizaciones del sector
financiero y asegurador.
Establecer los lineamientos para continuidad del negocio.
Consistir en una gua para la ciberseguridad.
201
La Serie 27000
403

Ser una revisin de la ISO 18028.
Establece directrices para administrar la seguridad de redes
de comunicacin en una organizacin.
Establecer los lineamientos para seguridad en aplicaciones.
Ser una revisin del ISO 18044 sobre la respuesta a
incidentes.
La Serie 27000
404

Se desea tener una gua de seguridad sobre el outsourcing.
Contendr guas para la identificacin, recoleccin, y/o
adquisicin y preservacin de evidencia digital.
ISO 27799:2008
Consiste en las mejores prcticas para conformar un SGSI
para el sector salud.
202
Certificado ISO 27001

405
406
203
407
408
204
Programas de Concientizacion
409
Programas de concientizacin
410
La concientizacin en materia de seguridad
informtica es frecuentemente despreciada y dejada

en segundo trmino.
Los profesionales de la seguridad pasan el tiempo
realizando tareas importantes como aplicando
controles, deteccin de intrusos, anlisis de riesgo, etc.
Los programas de concientizacin pueden esperar... (y
seguirn esperando)
205
Programas de concientizacin
411
Algunas maneras de mejorar/incrementar la
concientizacin:
Plticas, videos
Posters, boletines de la organizacin, intranet
Incentivos y reconocimiento al usuario seguro del mes
Banners (a manera de recordatorios), leyendas de seguridad en
post-it, mouse pads, etc.
Auditorias Prctica
412
206
Auditorias Prcticas
413
Las auditorias prcticas, o tambin conocidas como
Penetration Testings (PenTest) buscan evaluar el nivel

de seguridad de una organizacin buscando penetrar en
la misma.
A este tipo de evaluacin, muchas personas la llaman
Ethical Hacking.
414
207
Proyecto Final
415
416
DR. JOS DE JESS VZQUEZ GMEZ

jjvazquez@itesm.mx
208

Seguridad 1

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Seguridad 1

Enviado por

Direitos autorais:

Formatos disponíveis

Seguridad Informtica

DR. JOS DE JESS VZQUEZ GMEZ

Agosto 2014. Seguridad Informtica

Objetivo del Curso

Que el alumno comprenda los principales elementos

que constituyen la seguridad informtica y la forma

Al finalizar el curso, el alumno tendr una visin

global de los riesgos de seguridad actuales que pesan

Agosto 2014. Seguridad Informtica

Temas del Curso

Introduccin a la seguridad informtica.

Agosto 2014. Seguridad Informtica

Agosto 2014. Seguridad Informtica

Las actividades, tericas y de laboratorio, y el proyecto

final sern realizados y reportados en equipo (a menos

Agosto 2014. Seguridad Informtica

Una vez conformados los equipos, se enviar un correo

con las siguientes caractersticas:

Se enviar a la cuenta del profesor:

Slo se enviar un correo por equipo, por lo que se debe

Agosto 2014. Seguridad Informtica

Agosto 2014. Seguridad Informtica

Todos los equipos (y para cada clase) investigarn una noticia

relevante sobre el tema a revisar en dicha sesin. La noticia

Agosto 2014. Seguridad Informtica

La materia cuenta con actividades prcticas y teora.

laboratorio con al menos con una computadora

NOTA: Si hubiera informacin importante en esta computadora, es

responsabilidad del propietario de contar con respaldos de su

Durante todo el semestre se requerir el uso de

herramientas como las conjuntadas en Back Track

Tambin se pueden emplear las herramientas obtenidas

directamente de sus sitios originales.

Agosto 2014. Seguridad Informtica

No hay libro de texto, el profesor dar mltiples ligas

durante las clases.

Agosto 2014. Seguridad Informtica

C. Pfleeger and S. Pfleeger. Security in Computing.

Stallings, W. Network and Internetwork Security,

Peltier, Thomas R. Information Security Risk Analysis,

Matt Bishop, Introduction to Computer Security,

Matt Bishop, Computer Security: Art and Science,

Cdigo de tica (ALAPSI)

Desarrollar todas mis actividades profesionales y conducta conforme a la ley

Agosto 2014. Seguridad Informtica

La interpretacin de los temas tratados en esta

Agosto 2014. Seguridad Informtica

Agosto 2014. Seguridad Informtica

Fuente: Encuesta anual

Agosto 2014. Seguridad Informtica

Hackers y Seguridad Informtica

Originalmente se llamaba hacker a aquella persona

que conoca perfectamente los sistemas de cmputo.

Un hacker no era precisamente una persona maliciosa.

el tiempo y actualmente se asocia con las personas que

Agosto 2014. Seguridad Informtica

Hackers y Seguridad Informtica

En general un hacker es una persona altamente

vulnerabilidad informtica en la vctima y adems

Agosto 2014. Seguridad Informtica

Hackers y Seguridad Informtica

Pioneros del Hacking:

Agosto 2014. Seguridad Informtica

Hackers y Seguridad Informtica