Seguridad

1. Amenazas y ataques

Los procesos informáticos que en la actualidad se desarrollan a nivel internacional se han convertido en piezas fundamentales dentro del desarrollo de la economía, la política y la cultura de cualquier nación.

En muchas ocasiones habrás escuchado casos en los que se menciona alguna intrusión en sistemas informáticos, computadoras o redes.

¿Recuerdas alguno en el periódico, en la radio o en una película? Como habrás notado, algunas de estas intrusiones se deben a actividades de carácter económico, político o simplemente se de acciones malintencionadas sin objetivo alguno. Debido a esto, y para evitar al máximo que accedan a información confidencial personas no autorizadas, ha surgido la necesidad de aplicar medidas de seguridad, estableciendo algún tipo de mecanismo para conseguir que los datos no sean entendibles por aquellos individuos que los lleguen a interceptar.

Visualizando esta problemática, se ha creado y aplicado una serie de medidas de seguridad, las cuales establecen un mecanismo que restringe el acceso a personal no autorizado, logrando que se salvaguarde la integridad del sistema y que sea únicamente el personal autorizado (o con un acceso) el que pueda manipular la información.

Para evitar que exista la intrusión dentro de un sistema, debes cuestionarte lo siguiente: ¿Qué es lo que deseas proteger? Para esto hay que tomar en cuenta que en los sistemas informáticos la principal preocupación es la protección de la información, y que ésta será el elemento sobre el que la seguridad debe de trabajar. Para lograr este objetivo, deben revisarse los siguientes aspectos:

Tomando en cuenta estos aspectos, ¿Sabes exactamente de qué debes proteger un sistema?

Para responder esto hace falta mencionar que sobretodo, en un entorno de red la información se encuentra altamente vulnerable, pues existen diversas formas de fácil acceso para llegar a ella, por lo tanto, hay que tener presente que nuestra mayor preocupación será evitar que un ente no autorizado intercepte información, tenga acceso a ella y le dé un mal empleo. A esta situación le denominaremos Amenaza, la cual definiremos como:

Una posibilidad de violación de la seguridad que existe cuando se da una circunstancia, capacidad, acción o evento que pudiera romper la seguridad y causar perjuicio. Es decir, una amenaza es un peligro posible que podría explotar una vulnerabilidad.

Tomemos como ejemplo el virus de la influenza H1N1. Este virus representa una amenaza porque se sabe que existe y está latente, y que si no te proteges con una vacuna o con las medidas necesarias (lavarse las manos constantemente, no saludar de beso ni de mano, etc.), el virus puede llegar a atacarte.

Recordemos que una comunicación protegida o no por sistemas criptográficos está sujeta a una gran variedad de ataques.

Un ataque puede definirse como "un asalto a la seguridad del sistema, derivado de una amenaza inteligente; es decir, un acto inteligente y deliberado (especialmente en el sentido de método o técnica) para eludir los servicios de seguridad y violar la política de seguridad de un sistema".

En las recomendaciones X.800 y RFC 2828, los ataques se clasifican en: pasivos y activos. Revisemos a qué se refiere cada uno de ellos.

1.1 Ataques pasivos

Los ataques pasivos son aquéllos en los que una persona no autorizada intenta conocer o hacer uso de la información del sistema, pero no afecta a los recursos del mismo. Se dan en forma de escucha o de observación no autorizadas de las transmisiones. El objetivo del intruso es obtener información que se esté transmitiendo.

Observa con atención el esquema que se te presenta a continuación:

1.2 Ataques activos

Los ataques activos son aquéllos en los que el intruso pretende alterar los recursos del sistema o afectar a su funcionamiento. Implican alguna modificación del flujo de datos o incluso la creación de un falso flujo o alternativo.

Una posible clasificación y descripción de cada uno de ellos se muestra a continuación:

2. Seguridad

Como estudiamos en el tema anterior, existen elementos que deseamos proteger contra intrusiones no autorizados, como amenazas y/o ataques, así sabemos qué deseamos proteger y de qué protegerlo.

De esta manera, la seguridad se ha convertido en un eje imprescindible dentro del manejo de datos en el mundo de la informática, en los territorios del ciberespacio o en cualquier medio de comunicación virtual, pues de ésta depende que la información tenga un empleo correcto y que se encuentre libre de amenazas y posibles ataques.

Ya que conocemos las distintas amenazas a las que está expuesta la información, revisemos nuestras formas de protección: ¿Con qué características deben contar? ¿Cómo lograr la protección? Las respuestas a estas preguntas representan el marco de la seguridad, como se aprecia en la siguiente figura:

¿Cómo se puede definir entonces el término seguridad? Una forma muy acertada de seguridad podría ser la característica de un sistema (sea o no informático) mediante la cual éste se encuentra libre de algún daño, peligro o riesgo.

Esto no debe parecerte nuevo ya que en diversas situaciones de tu vida cotidiana te has involucrado con este concepto.

Ejemplo de ello es la existencia del cuerpo policiaco dentro de una sociedad. Ésta necesita estar resguardada de amenazas o ataques al transitar por las calles de la ciudad, y la función de la policía es justamente la de proteger y salvaguardar a la ciudadanía de cualquier elemento pernicioso, como puede ser un ladrón o un terrorista que altere el orden y la tranquilidad.

Para comprender mejor el concepto, respondamos las cuestiones señaladas en el diagrama:

En el medio informático sucede algo similar: ya que se han ubicado los distintos elementos a proteger, debe pensarse en qué se requiere para protegerlos. La solución se halla conociendo los servicios de seguridad, los cuales deben de garantizar la protección de los recursos de un sistema informático. ¿Te gustaría conocerlos? A continuación te los presentamos.

2.1 Servicios

¿Qué debe brindar un sistema informático para que sea seguro?

Antes de responder esta pregunta, conozcamos qué es un servicio de seguridad:

La recomendación X 800  lo define como: “un servicio proporcionado por una capa de protocolo de sistemas abiertos de comunicación que garantiza la seguridad adecuada de los sistemas o de las transferencias de datos”.

La recomendación RFC 8080  lo define como "un servicio de procesamiento o de comunicación proporcionado por un sistema para dar un tipo especial de protección a los recursos del sistema; los servicios de seguridad implementan políticas de seguridad y son implementados, a su vez, por mecanismos de seguridad".

Pero… ¿En qué consiste un sistema de seguridad? Para su estudio, tomemos la clasificación determinada por la recomendación X 800 donde éstos quedan divididos en las siguientes categorías:

Autentificación

Dentro de la comunicación en redes es muy fácil engañar a otro usuario respecto a la identidad. Resolver este problema es, por lo tanto, muy importante para efectuar comunicación confiable.

El servicio de autentificación se encarga de solventar este problema asegurando que la entidad de quien envía datos o se comunica es quien dice ser.

Un ejemplo común lo encontramos cuando quieres cobrar un cheque a tu nombre en un banco: para esto debes someterte a un proceso de verificación de identidad para comprobar que en efecto eres tú la persona quien lo va a cobrar. Debes presentar entonces un documento oficial o tu credencial certificada por una institución de confianza o gubernamental.

Control de acceso (Autorización)

Se usa para proporcionar al usuario indicado el acceso a una fuente, de acuerdo con los derechos de acceso que le correspondan, previniendo con esto el uso no autorizado de algún recurso.

Por ejemplo, si hemos escrito una carta y va destinada a alguna persona en particular, cerramos el sobre y colocamos el nombre de la persona esperando que sea ésta la única destinataria de la información. Nadie más debe abrir este sobre. ¿Abrirías un sobre que no es para ti?

Confidencialidad

En la comunicación por red es muy difícil asegurar la privacidad de la comunicación, ya que no se tiene control de la línea de comunicación, por lo tanto, debe protegerse la información de forma que ésta sólo pueda ser leída por personas autorizadas.

Por ejemplo: cuando alguien intercepta la comunicación de una llamada telefónica y escucha la conversación privada está violando la confidencialidad de los usuarios y apropiándose de información personal.

Integridad

Este servicio se refiere a que la información no sea alterada mientras está siendo enviada, es decir, los datos recibidos son exactamente como los emitió una entidad, lo que significa que no se les debe modificar, agregar, eliminar o copiar absolutamente nada.

En Internet se pueden realizar compras y la información de estas operaciones tiene que viajar por una vía de comunicación sobre la cual no se tiene control, y si no se asegura la integridad podría cambiarse. Como ejemplo de esto es el envío de datos de un pedido o el

número de la tarjeta de crédito con la que se efectúa el pago, en ambos casos (o en otros) si no hay un claro control pueden causar graves problemas al comercio y a sus clientes.

¿Has comprado boletos para algún concierto por Internet? Imagina que los datos son modificados y en lugar de enviarte boletos del concierto de tu artista favorito, te envían boletos de una obra de teatro infantil.

No repudio

Este servicio se refiere a no negar la autoría de un mensaje enviado, ya que sirve como prueba de que un mensaje ha sido enviado por un emisor específico y con ello evitar que éste pueda ocultar quién es el propietario.

Ejemplo de esto lo encontramos cuando alguien expide un documento y lo firma con el objetivo de asegurar que es de su procedencia.

Disponibilidad

Se refiere a la propiedad que tienen los recursos de un sistema para encontrarse accesibles a petición de una entidad autorizada.

Supongamos que puedes necesitar, en alguna hora de la noche, información sobre tu cuenta bancaria. Entonces recurres al portal de la institución en Internet. A través de la página puedes acceder a la información que requieres en el momento que lo necesites, además de forma segura, sobre todo porque el banco te brinda la confianza, como si estuvieras en una de sus sucursales.

A continuación te mostramos una tabla donde se aprecia la relación existente entre servicios de seguridad y ataques, tabla que te será de utilidad para conocer cuáles son las características de un sistema y qué debemos de cuidar ante un determinado tipo de ataque.

Ahora que ya conoces los servicios y has identificado su relación con los ataques, te preguntarás ¿cómo es que estos servicios pueden ser implementados? Continúa leyendo para que identifiques la manera de lograrlo.

2.2 Mecanismos

¿Cómo proteger nuestro sistema? Como ya se ha ejecutado un análisis de las amenazas y ataques potenciales que éste puede sufrir, se deben diseñar estrategias para evitarlas o, en su caso, minimizar los efectos en caso de que se produzcan, asegurando los servicios que ya estudiamos anteriormente.

A continuación se establecen una serie de mecanismos de seguridad, debido a que no existe un único componente capaz de proveer todos los servicios citados anteriormente.

La tabla que se te muestra a continuación visualiza la relación existente entre servicios y mecanismos de seguridad. Esta relación te permitirá identificar el mecanismo pertinente que es aplicable para asegurar determinado servicio de seguridad.

Pon mucha atención, observa y analiza.

Con la información precedente, podemos completar el siguiente diagrama que ejemplifica el entorno de seguridad.

Ahora que se han revisado los distintos peligros que pueden volver vulnerable a un sistema y comprometer su seguridad, es momento de ejecutar todo este conocimiento, y para ello te invitamos a realizar una actividad.

Como podrás imaginarte, todo este entorno de seguridad que se ha definido hasta ahora debe estar apegado a una normatividad que asegure la comunicación y el entendimiento entre sistemas. Estas normas están establecidas en estándares que a continuación te presentamos.

2.3 EstándaresComo es de esperarse, los algoritmos para el cifrado, protocolos y aplicaciones de seguridad en redes han sido especificados en estándares, siendo los más importantes para nuestro estudio los estándares de Internet, definidos en los RFC de Internet (Request for Comments)  y Federal Information Processing Standards (FIPS), publicados por el NIST (National Institute of Standards and Technology).

También es necesario atender las recomendaciones que hace el Organismo Internacional de Normalización (ISO)  para la seguridad y que establece el cifrado en el nivel de presentación según el modelo OSI para –entre otros aspectos– simplificar las tareas de cifrado, minimizar la cantidad de programas a los que ha de confiarse el texto legible, es decir, cuanto menos sean los programas que manejen el texto, éste se vuelve menos vulnerable.

En cuanto a los algoritmos de cifrado que se deben implementar es necesario codificar los diferentes tipos de información, como por ejemplo, un certificado o un archivo firmado. El estándar más popular (en este sentido) es el conocido como PKCS por ser las siglas de Public Key Cryptography Standards  que son, en realidad, un conjunto de estándares que especifican las reglas de codificación de un requerimiento de certificación, un certificado o un mensaje firmado, por ejemplo. Además de reglas de codificación, PKCS define estándares para guardar una contraseña, su sintaxis y especifica el API de acceso a dispositivos físicos que almacenan información criptográfica y realizan funciones criptográficas (smart cards)y el formato para guardar o transportar claves privadas, certificados u otros. Estos conceptos se estudiarán en los próximos temas.

Por supuesto, existen más estándares que por sí mismos requerirían de un estudio más detallado, pero por el momento basta con conocer los que enlistamos.

Conclusiones

Para proveer seguridad a un sistema informático, es necesario cumplir con una serie de mecanismos que nos permitan conseguirla. Para este fin, existen normas contenidas en estándares, que expertos en este rubro han venido implementando a lo largo de la historia de la informática. El objetivo: salvaguardar la información que viaje a través de estos sistemas.

Por ende entonces, te habrás dado cuenta que la seguridad requiere un estudio muy detallado y profundo para su empleo adecuado en redes, internet, correo electrónico, etcétera.

¿Quieres saber qué papel juega la seguridad en éstas y muchas otras aplicaciones? Continuemos revisando esta unidad de aprendizaje.