Tài liệu hạn chế xem trước, để xem đầy đủ mời bạn chọn Tải xuống
1
/ 59 trang
THÔNG TIN TÀI LIỆU
Cấu trúc
Slide 1
Slide 2
Slide 3
Slide 4
Slide 5
Slide 6
Slide 7
Slide 8
Slide 9
Slide 10
Slide 11
Slide 12
Slide 13
Slide 14
Slide 15
Slide 16
Slide 17
Slide 18
Slide 19
Slide 20
Slide 21
Slide 22
Slide 23
Slide 24
Slide 25
Slide 26
Slide 27
Slide 28
Slide 29
Slide 30
Slide 31
Slide 32
Slide 33
Slide 34
Slide 35
Slide 36
Slide 37
Slide 38
Slide 39
Slide 40
Slide 41
Slide 42
Slide 43
Slide 44
Slide 45
Slide 46
Slide 47
Slide 48
Slide 49
Slide 50
Slide 51
Slide 52
Slide 53
Slide 54
Slide 55
Slide 56
Slide 57
Slide 58
Slide 59
Nội dung
Seguridad distribuida en la red y centralizada en los sistemas Introducción El Reto en la Seguridad • Los sistemas de Tecnologías de la Información… – … cambian rápidamente – … son cada vez más complejos Y los “Hackers” son más sofisticados, y hacer “Hacking” cada vez más fácil El nivel de seguridad debe crecer también! Hackers: más peligroso y más fácil Packet Forging/ Spoofing High Back Doors Stealth Diagnostics DDOS Sweepers Complejidad de las herramientas Sniffers Exploiting Known Vulnerabilities Hijacking Sessions Disabling Audits Self Replicating Code Password Cracking Complejidad de uso Password Guessing Low 1980 1990 2000 Seguridad La Organización Internacional de Estándares (ISO), como parte de su norma 7498 en la que se establece el modelo de referencia para la interconexión de sistemas abiertos, define la seguridad informática como una serie de mecanismos que minimizan la vulnerabilidad de bienes y recursos, donde un bien se define como algo de valor y la vulnerabilidad se define como la debilidad que se puede explotar para violar un sistema o la información que contiene Para ello, se han desarrollado protocolos y mecanismos adecuados, para preservar la seguridad Temas legales En muchos gobiernos el uso de información cifrada está prohibido Los temas de seguridad son muy peliagudos y los Gobiernos tratan de implantar reglas (o estándares de cifrado) que ellos mismos puedan descifrar fácilmente La polémica está levantada, pero no es objeto de la asignatura entrar en detalle en estos temas Por ejemplo en Francia y EEUU no están permitidas transacciones cifradas, que el gobierno no sea capaz de descifrar, pues pueden utilizarse para comercio de armas, delincuencia, Marco legislativo español Real decreto-Ley 14/1999 (17/Sept) Orden ministerial 21/Feb/2000 aprueba el Reglamento de acreditación de prestadores de servicios de certificación y algunos productos de firma Nuevo código penal (título 10: delitos relacionados las nuevas tecnologías), Reglamento de Seguridad de la LORTAD (Ley Orgánica de Regulación del Tratamiento Automatizado de los Datos de carácter personal), Ley Orgánica de Protección de Datos (15/1999 13 Diciembre), Otras leyes sobre: DNI electrónico, Ley de Firma electrónica, Ley de Facturas Telemáticas, Conceptos • “seguridad de una red” implica la seguridad de cada uno de las computadoras de la red • “hacker”: cualquier barrera es susceptible de ser superada y tiene como finalidad la de salir de un sistema informático (tras un ataque) sin ser detectado Es un programador • “cracker”: no es un programado y utiliza sus ataques para sacar beneficio económico • “Amenaza o ataque”: intento de sabotear una operación o la propia preparación para sabotearla (poner en compromiso) Tipos de amenazas • Compromiso: la entidad atacante obtiene el control de algún elemento interno de la red, por ejemplo utilizando cuentas password trivial o errores del sistema • Modificación: la entidad atancante modifica el contenido de algún mensaje o texto • Suplantación: la entidad atacante se hace pasar por otra persona • Reenvío: la entidad atacante obtiene un mensaje o texto en tránsito y más tarde lo reenvía para duplicar su efecto • Denegación de servicio: la entidad atacante impide que un elemento cumpla su función Servicios ofrecidos por la “seguridad” Autenticación: ¿es realmente quien dice ser? Control de Acceso: ¿tiene derechos a hacer lo que pide? No repudio: ¿ha enviado/recibido esto realmente? Integridad: ¿puedo asegurar que este mensaje esta intacto? Confidencialidad: ¿lo interceptado alguien más? Auditoria: ¿qué pasado aquí? Alarma: ¿qué está pasando ahora? Disponibilidad: El servicio debe estar accesible en todo momento Agenda de seguridad 1.- Secretos: criptografía 2.- Protocolos de seguridad 3.- Aplicaciones y seguridad 4.- Redes y seguridad 10 Métodos simétricos basados en flujo XOR Método en bloques i(n) o(n) Los métodos basados en flujo utilizan funciones XOR métodos basados en bloques Para descifrar utilizamos un sistema inverso (espejo) Explicación: Para descifrar: Para cifrar: K-1[o(1)]=i(0); o(1)= K[i(0)]; o(2)=K[i(1) XOR o(1)]; o(n)=K[i(n-1) XOR o(n-1)] K-1[o(2)]=i(1) XOR o(1) (como conocemos o(1) hacemos XOR) Por tanto i(1) XOR o(1) XOR o(1)= i(1) K-1[o(n)]= i(n-1) XOR o(n-1); (con XOR o(n-1)) 45 Por tanto i(n-1) XOR o(n-1) XOR o(n-1) = i(n-1) Cifrados de clave pública Históricamente, el problema de distribución de claves siempre sido la parte débil de la mayoría de criptosistemas Si un intruso puede robar la clave, el sistema no vale nada En 1976, en la Universidad de Stanford (EEUU) se propuso un nuevo criptosistema, en el que las claves de cifrado y descrifrado eran diferentes y la clave de descifrado no podía derivarse de la clave de cifrado En dicha propuesta, el algoritmo de cifrado E() (parametrizado una clave) y el algoritmo de descifrado D() (con otra clave), tienen que cumplir las propiedades: 1. D(E(P))=P 2. Es excesivamente difícil deducir D() de E() o viceversa 3. E() no puede descifrarse 46 Algoritmo de cifrado de clave pública El algoritmo de cifrado E(), descifrado D() y la clave de cifrado, se hacen públicos (de ahí el nombre de criptografía de clave pública), pero se mantiene secreta la clave de descifrado Nueva notación: A EA es clave pública y DA es clave secreta secreta indica el usuario Escenario de aplicación entre persona A y B: A y B nunca han tenido contacto previo Se supone que tanto la clave de cifrado de A, EA, como la clave de cifrado de B, EB, es información pública Pasos a seguir: 1.- A toma su primer mensaje P, calcula E B(P) y lo envía a B 2.- B entonces lo descifra aplicando su clave secreta D B, es decir, calcula DB(EB(P))=P 3.- Nadie más que B, puede descifrar el mensaje E B(P), porque se supone que el sistema de cifrado es robusto y porque es demasiado difícil derivar D B de la EB públicamente conocida 4.- B procede igual que A Ahora A y B pueden comunicarse seguridad 47 Escenario clave pública Usuario A t Usuario B P=soy A y quiero hablar B, usando clave sesión K B, ¿cuál es tu clave pública? E B() E B(P) DB(E B(P))=P P’=ok A! soy B, o clave sesión K A, ¿cuál es tu clave pública? E A() DA(E A(P’))=P’ E A(P’) ESTABLECIDA LA SESION!!! Clave simétrica de sesión k 48 Cifrado RSA (Rivest, Shamir, Adleman, 1979) El algortimo RSA se basa en la dificultad de factorizar números grandes Pasos previos al algoritmo RSA: • Seleccionar dos números primos grandes, p y q (generalmente mayores que 10100) • Calcular n=p * q y la función multiplicativa de Euler z=(p-1) * (q-1) • Seleccionar un número d primo relativo z, es decir sin ningún factor común z • Encontrar e tal que e * d=1 (mod z) , es decir que e * d módulo z sea Los datos que serán públicos son el par (e,n) y privados (d,n) Si el criptoanalista pudiera factorizar n (conocido públicamente), podría encontrar p y q, y a partir de éstos, z Equipado el conocimiento de z y de e, que es pública, puede encontrar d usando el algoritmo extendido de Euclides Euclides 49 Algoritmo RSA 1.- Dividimos el texto normal (considerado como una cadena de bits) en bloques P, que cumpla que 0