Avances en Seguridad Computacionalwpereira/docencia/redesII/Seguridad.pdf · Seguridad de Sofware y...
Transcript of Avances en Seguridad Computacionalwpereira/docencia/redesII/Seguridad.pdf · Seguridad de Sofware y...
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Avances en Seguridad Avances en Seguridad ComputacionalComputacional
Prof. Wílmer Pereira
USB / UCAB
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
TemarioTemario
◆ Políticas de seguridad◆ Criptografía
◆ Confidencialidad, Integridad, Autentificación y no Repudio ◆ Algoritmos de clave simétrica y clave pública◆ Autoridades certificadoras◆ Aplicaciones: PGP, SSL, IPSec, etc
◆ Herramientas◆ Firewall◆ Redes Privadas Virtuales (VPN)
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Objetivos de la SeguridadObjetivos de la Seguridad
Servicios Mecanismos
ConfidencialidadAutentificación Cifrado
Integridad Firma Digital No repudio Firewall
Control de accesoDisponibilidad
Definir mecanismos y arquitecturas para tener ambientes seguros con respuesta
efectiva ante ataques y pérdidas
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Servicios de SeguridadServicios de Seguridad
Confidencialidad:Ocultamiento de información sensible (privacidad)
Integridad:Detectar alteraciones en el contenido de los mensajes
Autentificación:Verificar la identidad del usuario
No repudio:Evitar rechazo por emisión de mensaje
Control de acceso:Evitar la intrusión de atacantes hacia puntos sensibles
Disponibilidad:Asegurar permanencia del servicio
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Seguridad de Sofware y DatosSeguridad de Sofware y Datos Seguridad de software
Protección ante la piratería y plagiode productos informáticos vendidos
por empresas
Seguridad de datos Protección de la información
en transito por las redes y localmente sobre los computadores
¿ Qué Proteger ?Datos confidencialesReputaciónPersonasModificación de información (fraude)Recursos
¿ Para qué proteger ?ConfidencialidadAutentificarPrevenir ataquesAuditoría
HackersCrackers
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Políticas de SeguridadPolíticas de Seguridad
Factores(a) Recursos disponibles(b) Personas involucradas(c) Amenazas y ataques(d) Costos
Desarrollar procedimientos y planes que salvaguarden los recursos de la
red contra pérdidas y dañosRFC 1244
Solo que proteger nunca como ...
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Factores en la SeguridadFactores en la Seguridad
HardwareSoftware
DatosDocumentación
AdministradorUsuariosHackers
Accesos no autorizadosModificación de datos
Escucha pasivaNegación de servicio
Virus y gusanosSubplantación de identidad
PrevenciónAutentificación
AutorizaciónRespaldosBitácoras
Recursos Personas
Ataques Medidas
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Definición de PolíticasDefinición de Políticas
¿ Quién accede a qué ?
¿ Cuál es el uso correcto de los recursos ?
¿ Quién aprueba el uso de recursos ?
¿ Como se hace y difunde la política ?
¿ Qué hacer ante un ataque o violación de la seguridad ?
Ingeniería Forense
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Identificar Problemas ...Identificar Problemas ...
Puntos de acceso RedModem Inalámbrico
Sistemas mal configurados
Software ilegal, virus y gusanos
Amenazas internas
Seguridad física
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Modelos de AtaquesModelos de Ataques
Intercepción Modificación
Fabricación Interrupción
E: EmisorR: ReceptorI: Intruso
R EE
EE
R
R R
I I
II
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Tipos de AtaquesTipos de AtaquesPasivos:
Escuchar y monitorear a escondidas
Difícil de detectar, sólo se puede prevenir
Activos:Suplantar identidad, Infiltrar servidoresModificar informaciónNegar servicio
Difícil de prevenir,más se puede detectar
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
CriptografíaCriptografíaTécnica para ocultar y así proteger información
mientras permanece en discoo mientras está en tránsito
Substitución:Cambia un carácter por uno o varios caracteres
M U R C I E L A G O 0 1 2 3 4 5 6 7 8 9
Hola como estas H967 3909 5ST7S
Transposición:Sobre una matriz se intercambian filas porcolumnas hola como hcesooslmtaoa esta s
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Clave compartida donde reside todo el secreto pues el algoritmo es bien conocido. Mezcla substitución + transposición
Premisas:
Texto en claro XTexto cifrado YK Clave compartidaEK(Z) Cifrar Z con K DK(Z) Descifrar Z con K
X XY
Criptografía de Clave SimétricaCriptografía de Clave Simétrica
A B
EK(X)
K
DK(Y)
K
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
DES: Nace de un standard IBMy adoptado por el la DoD Gratuito y debería substituirse por AES.Sólo claves de 56 bits y por ello se usa tripleDES
IDEA: Patentado en Suiza y propiedad de ASComtechClaves de 128 bits por lo que es más seguro
RC2: Secreto comercial, divulgado por Internet en 1996Claves hasta 2048 bits aunque sólo 40 fuera de USA
RC4: Secreto comercial y también divulgado en 1994Usado por Netscape pues parece muy seguro
Criptografía de Clave SimétricaCriptografía de Clave Simétrica
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Se basa en dos claves una pública expuesta y una privada bien resguardadaCada clave se puede usar tanto para encriptar como para desencriptar
Infactible de determinar la clave privada teniendo la clave pública
Nuevas premisas:Texto en claro XTexto cifrado YKu
A Clave pública de AKi
A Clave privada de AEKuA(Z) Cifrar Z con la clave pública de A DKuA(Z)Descifrar Z con la clave pública de A
Criptografía de Clave PúblicaCriptografía de Clave Pública
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
X XY B
Criptografía de Clave PúblicaCriptografía de Clave PúblicaConfidencialidad:
EKiA(X) DKuA(Y)
X XY B
Autentificación:A
A
Autentificación + EKuB(EKiA(X)) = Y
Confidencialidad + DKuA(DKiB(Y)) = X
Integridad
EKuB(X) DKiB(Y)
KiA Ki
B
KuA
KuB
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Criptografía de Clave PúblicaCriptografía de Clave PúblicaUsos:
AutentificaciónFirma digital Intercambio de claves
Algoritmos:RSA: Rivest/Shamir/Adleman del MITEl Gamal: GratuitoDSS: NSA (National Security Agency)
Sólo para firma digital
Anécdota ...Merkle ofrece (1978) $100 a quien rompa snapsack Shamir lo rompe en 1982 Merkle corrige y ofrece $1000Brickell lo rompe 1984
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Compendio de Mensajes Compendio de Mensajes (hashing o digest)(hashing o digest)
Sea X el texto en claro y C(X) el compendio del archivo: Cada bit C(X) se modifica aún con pequeños cambios en X Dado C(X) debe ser poco factible encontrar X
C(X) no debe ser aleatorio
Sirve para conformar la firma digital
Permite generar claves simétricas a partir de frases cortas
Destila información de un archivo en un solo número hexadecimal128256 bits (cifrado en un solo sentido)
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Compendio de MensajesCompendio de Mensajes
MD5: Diseñado por Ronald Rivest con compendios de 128 bits
SHA: Propuesto por la NSA a 160 bits
SHA vs MD5(gobierno) (privado)
Hay argumentos para no confiar en ninguno de los entes
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Firma DigitalFirma Digital
Firma con clave pública:
Integridad del mensaje + Autentificación del usuarioPara evitar alteraciones del documento y copias ilegales
EKuB(EKiA(X)) = Y
DKuA(DKiB(Y)) = X
Firma con compendio:
X XBA Y = X + EKiA
(C(X))
Extrae X de Y. Sea X’Si C(X’) = DKuA(EKiA
(C(X))) entonces
el mensaje es del remitente correcto
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Alcances y Límites de la Alcances y Límites de la CriptografíaCriptografía
Asegura:ConfidencialidadIntegridad del mensajeAutentificación del usuarioNo repudio
No asegura:No protege contra robo de clavesNo impide obstrucción del servicio (disponibilidad)Es vulnerable contra modificaciones del algoritmo de cifradoNo protege contra traidores o errores humanos
Otro problema: La academia se ve tentada por el dineroinvolucrado y se alteran compromisos éticos
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Certificación DigitalCertificación DigitalEmular la capacidad de identificación en
soporte digital
Involucra Autoridades de Certificacióndonde se usa la infraestructura PKI
Tipos:lo que se sabe (clave de acceso)lo que se tiene (carnet)Lo que se es (biometría)
Sin embargo Sin embargo todos tiene todos tiene inconvenientes ...inconvenientes ...
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Autoridades de CertificaciónAutoridades de CertificaciónTerceros que avalan la clave pública de
entes comerciales, desarrolladores de softwarey particulares
Compañía aseguradora que avala la seguridadde transacciones comerciales
FuncionamientoFuncionamiento:Una CA firma con su clave privada las claves públicas de sus clientesPara descifrar se requiere tener la clave pública de la CA (browser)Las CA se certifican con otras o se avalan a si mismasSe utiliza los certificados standard X.509v3
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Normas de CertificaciónNormas de CertificaciónRevocaciónRevocación:
Clave privada perdidaCA descubre que emitió a ente equivocadoSi se están emitiendo certificados falsos
ProblemasProblemas:La lista de revocaciones crece rápidamentePeríodo de indeterminación mientras de actualiza
SoluciónSolución:Certificados que expiran rápidamente (2 min)Por cada transacción contactar la CA
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Certificados X.509v3Certificados X.509v3Versión
Número de serie
Algoritmo de cifrado
CA EmisoraPeríodo de validez
no antes ...no después ...
Clave pública
Algoritmo de compendio
Firma
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Problemas de las PKIProblemas de las PKI
¿ Cuantas CA debe haber ? ¿ Públicas o privadas ?¿ Cuál es la responsabilidad de las CA ?Las claves no están asociadas a la persona sino a la máquina¿ Cómo diferenciar distintos certificados ? (varios Juan Pérez)No hay suficiente información (edad, sexo, ...)No hay divulgación selectiva (IETF estudia SPKI)¿ No será preferible la biometría ?¿ Cómo legislar ? ¿ Nacional, estatal o internacionalmente ?
Venezuela usa la ley de Utah una firma digital es equivalente a un firma manuscrita
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Tipos de certificadosTipos de certificados
CA: Verisign, Thawte, Belsign, MCI, etcEmiten de varias clases
Generar Ku y Ki localmenteEnviar Ku a CA
Cliente o Llenar formas vía WebServidor: CA verifica información
Al aprobar envía clave para bajar certificadoInstalar la clave
Editor de Anexar al sofware una firma junto con el certificadoSofware: Authenticode propuesto por Microsoft
CA CA ClienteCliente
ServidorServidorEditor de SoftwareEditor de Software
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Niveles de Seguridad por Niveles de Seguridad por Capas del Modelo TCP/IPCapas del Modelo TCP/IP
Aplicación
Transporte
Red
Física
PGP, SMIME
SSL
IPsec (Modo transporte)
IPsec (modo Tunel)
Seguridad Física
Factores a evaluarFactores a evaluar:Seguridad dependiente del usuario Seguridad dependiente del tráficoProtección de cabeceras de paquetesAutentificación de máquinasSeguridad del hardware
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
SSL (Socket Secure Layer)SSL (Socket Secure Layer)Librería para repotenciar servidores Web y
manejar procesos de autentificación y confidencialidad
CaracterísticasCaracterísticas:Propuesto por Netscape.IETF estudia la nueva versión (TLS).La autentificación obligatoria en el servidor.Claves simétricas de 128 bits y públicas de 1024.Usa certificados x.509v3.En la autentificación, se negocian las claves de sesión.
Problemas de SSL
En el servidor queda el número de la tarjeta de créditoEl vendedor puede modificar los datosNo ofrece firma digital por lo que puede haber repudio
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
SET SET (Secure Electronic Transaction)(Secure Electronic Transaction)Protocolo impulsado por VISA y Master Card para
evitar la vulnerabilidad del comercio electrónico ante el uso de tarjetas de crédito
Involucra a tres entes: cliente, vendedor y banco.Cada usuario dispone de una billetera electrónica.El número de la tarjeta de crédito es entre el cliente y el banco Los artículos a comprar son entre el cliente y el vendedorAsegura Confidencialidad,
Autentificación, Integridad yFirma Digital
No es gratuito ...
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
IPsecIPsecEstándar de IETF opcional en IPv4 y obligatorio en IPv6Agrega encabezados nuevos para proteger los originales
Asegura: ConfidencialidadIntegridadAutentificación de máquinas (no usuario)
Incluye: Protocolos AH ESP
Modos Transporte Túnel
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
AH AH (Authentification Header)(Authentification Header)Ofrece autentificación e integridad más no
confidencialidad (MD5 ó SHA)
IP TCP Datos
IP AH TCP Datos
IP’ AH IP TCP Datos
Antes AH
AH modo transporte
AH modo túnel
Autentificación
Autentificación
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
ESP ESP (Encapsulation Security (Encapsulation Security Payload)Payload)
Ofrece autentificación, integridad y confidencialidad (TripleDES +MD5 ó SHA)
IP TCP Datos
IP ESP TCP Datos ESP ESPCola Autf.
IP’ ESP IP TCP Datos ESP ESPCola Autf.
Antes ESP
ESP modo transporte
ESP modo túnel
Autentificación
Cifrado
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
VPN VPN (Virtual Private Network)(Virtual Private Network)Conexión a través de WAN que simula un canal dedicadoque asegura cierta seguridad y velocidad de transmisión
UsosUsos:
Más barato que un canal dedicadoAcceder localmente servidores situados remotosCliente que remotamente accede de manera segura a su LAN
Tipos de VPNTipos de VPN:
Cliente/Red: Cliente se conecta a través de modem con ISP vía PPP
Red/Red: Conectar LAN’s usando PPTP
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
VPN VPN Cliente/RedCliente/Red
WANCliente PPTP
.
.
.
Web
Email
Servidor PPTP
(1) Con ISP Transparente
(2) Hacia LAN no transparente
ISP
Servidor PPTP WAN
ClientePPTP
LAN Corporativa
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
VPN VPN Red/RedRed/Red
C/S PPTP WAN
C/SPPTP
LAN Corporativa LAN Corporativa
Protocolos de TunnelingProtocolos de Tunneling:PPTP: Desarrollado por Microsoft a partir de PPP
Encapsula tramas IP con un encabezado PPTP
L2F: Propuesto por CISCOTunneling dinámico (se abre sólo a la conexión)
L2TP: CISCO + Microsoft (IETF)Configurable (IP o cualquier otro protocolo de red)Usa IPsec
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
FirewallFirewallControlador de tráfico entre la red interna y la red externa
Filtra paquetes sobre un único punto de entrada
Cuidado con las puertas traseras ....Conexiones vía modemenlaces inalámbricas
Internet
Firewall Uno o varios routers o máquinas bastiones
LAN Corporativa
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
FirewallFirewallVirtudesVirtudes:Ente centralizado que facilita la toma de decisiones de seguridad con la ACL (Access Control List)Estadísticas de tráfico y prevención de problemas
Debilidades:Debilidades:Proteger contra usuarios maliciosos internosAmenazas no previstas en el ACLNormalmente no protege contra virus (el filtrado sería muy lento)
Firewall de Red: router de protecciónFirewall de Aplicación: proxy dependiente de las aplicaciones
(clásico o transparente)
Tipos de Firewalls
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
FirewallFirewall
FiltradoFiltrado:IP fuente y destino (encabezado IP)Tipo de protocolo (encabezado IP)Puerto fuente y destino (encabezado TCP o UDP)Bit de ack (encabezado TCP)
PolíticasPolíticas:lo que no está expresamente permitido está prohibidolo que no está expresamente prohibido está permitido
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Arquitecturas de FirewallsArquitecturas de FirewallsRouter
ACL(1)(1)
Router +Proxy(2)(2)
LAN
LAN
Internet
Internet
LAN Corporativa
Router +Proxy Internet
Bastion(3)(3)
Perímetro de Seguridad
Universidad Simón Bolívar Prof. Wílmer Pereira Especialización en Telematica
Arquitecturas de FirewallsArquitecturas de Firewalls
(4)(4) Internet
Router Interno
Router Externo
Bastion
Perímetro de seguridad
LAN Corporativa
El servidor Web puede estar:Dentro de la LAN: sólo se abre el puerto 80 y el puerto 443 pero compromete la LANEn el perímetro de seguridad: está protegido y si se cae sigue habiendo protecciónMás allá del Firewall: más vulnerable y si cae la máquina, no se compromete nada