Criptografa y Protocolos de Seguridad Clase 1

Rosa Muoz Calanchie

Introduccin
The art of war teaches us to rely not on the likelihood of the enemy's not coming, but on our own readiness to receive him; not on the chance of his not attacking, but rather on the fact that we have made our position unassailable. The Art of War, Sun Tzu
2

Background
Los requerimientos de seguridad de la informacin han cambiado en los tiempos actuales La seguridad de la informacin tradicionalmente era proveida por mecanismos fsicos y administrativos La utilizacin de los computadores requiere herramientas automatizadas para proteger archivos y otra informacin almacenada El uso de redes y enlaces de comunicacin requiere medidas para proteger los datos durante la transmisin
3

Definiciones
Computer Security nombre genrico dado a la coleccin de herramientas diseadas para proteger los datos y para frustrar hackers Network Security medidas para proteger los datos durante la transmisin Internet Security medidas para proteger los datos durante su transmisin sobre una coleccin de redes interconectadas

Servicios, Mecanismos, Ataques

Se necesita una manera sistemtica para definir los requerimientos de seguridad. Se puede considerar tres aspectos de la seguridad de la informacin: security attack, cualquier accin que comprometa la seguridad de la informacin propiedad de una organizacin security mechanism, un mecanismo que se disea para detectar, prevenir o recuperarse de un ataque a la seguridad security service, un servicio que aumenta la seguridad de un sistema de procesamiento de datos y de las transferencias de datos de una organizacin.
5

Security Service
Los servicios se definen para contener ataques de seguridad, y hacen uso de uno o mas mecanismos de seguridad para suministrar el servicio. Replica funciones normalmente asociadas con los documentos fsicos Por ejemplo, se usan firmas y fechas; se necesita proteccin de revelacin, alteracin o destruccin; ser pasado ante notario o certificado; ser grabado o licenciado

Security Mechanism
Se disean para detectar, prevenir, o recuperarse de un ataque de seguridad No hay un nico mecanismo que soporte todas las funciones Sin, embargo existe un elemento en particular que subyace en muchos de los mecanismos de seguridad en uso actualmente: las tcnicas criptogrficas

Security Attack
Cualquier accin que compromete la seguridad de la informacin que es propiedad de una organizacin Information security es acerca de como prevenir ataques, o fallando eso, detectar ataques sobre sistemas basados en informacin Existe un amplio rango de ataques Se puede enfocar en los tipos de ataque genricos que pueden ser encontrados A menudo amenaza & ataque significan lo mismo
8

Security Attacks

Security Attacks
Interrupcin: Este es un ataque a la disponibilidad Intercepcin: Este es un ataque a la confidencialidad Modificacin: Este es un ataque a la integridad Fabricacin: Este es un ataque a la autenticidad

10

OSI Security Architecture

ITU-T X.800 Arquitectura de Seguridad para OSI Manera sistemtica de definir y proveer requerimientos de seguridad Es til para administradores como una forma de organizar la tarea de proveer seguridad. Como fue desarrollado como un estndar internacional los proveedores de computadores y comunicaciones han desarrollado caractersticas de seguridad para sus productos y servicios que se relacionan con esta definicin estructurada de servicios y mecanismos.
11

Security Services
X.800 define un servicio de seguridad como un servicio suministrado por un nivel de protocolo de comunicacin de sistemas abiertos, el cual asegura seguridad adecuada de los sistemas o de los datos transferidos RFC 2828 provee la siguiente definicin: un servicio de procesamiento o comunicacin suministrado por un sistema para dar un tipo especfico de proteccin a los recursos del sistema Servicios de seguridad implementan polticas de seguridad, y son implementados por mecanismos de seguridad. X.800 los divide en cinco categoras.
12

Security Services (X.800)

Authentication seguridad de que la entidad que se comunica es quin dice ser Access Control - prevencin del uso no autorizado de un recurso Data Confidentiality proteccin de que los datos sean revelados sin autorizacion Data Integrity seguridad de que los datos recibidos estn tal como fueron enviados por una entidad autorizada Non-Repudiation proteccin contra la negacin por una de las entidades involucradas en una comunicacin de haber participado en ella o en parte de ella 13

Security Mechanisms (X.800)

Mecanismos de seguridad especficos: encriptacin, firmas digitales, control de acceso, integridad de los datos, intercambio de autentificacin, relleno de trfico, control de enrutamiento, certificacin Mecanismos de seguridad no especficos: Funcionalidad creible, niveles de seguridad, deteccin de eventos, rastro de auditora de seguridad, recuperacin de seguridad

14

Relacin entre Servicios de Seguridad y Mecanismos de Seguridad

15

Clasificacin de Ataques de Seguridad

Ataque pasivo, intenta aprender o hacer uso de la informacin del sistema pero no afecta los recursos Por ejemplo monitoreo de las transmisiones para: obtener el contenido del mensaje, o monitorear el flujo de trfico Son muy difciles de detectar debido a que no involucran alteracin de los datos Sin embargo es posible prevenir el xito de estos ataques generalmente por medio de la encriptacin.
16

Clasificacin de Ataques de Seguridad

Ataque activo, intenta alterar los recursos del sistema o afectar su operacin Por ejemplo modificacin del stream de datos para: suplantar una entidad reenviar mensajes previamente capturados para producir un efecto no autorizado modificar los mensajes en trnsito negacin de servicios, previene o inhibe el uso normal de las facilidades de comunicacin
17

Clasificacin de Ataques de Seguridad

18

Model for Network Security

19

Model for Network Security

El modelo muestra que hay 4 tareas bsicas cuando se disea un servicio de seguridad particular:

1. Disear un algoritmo conveniente para la transformacin relacionada con la seguridad de la informacin que ser enviada 2. Generar la informacin secreta (claves) usada por el algoritmo 3. Desarrollar mtodos para distribuir y compartir la informacin secreta 4. Especificar un protocolo que ser utilizado por los dos comunicantes, que hace uso del algoritmo de seguridad y de la informacin secreta para lograr un servicio de seguridad particular
20

Model for Network Access Security

21

Model for Network Access Security

Los mecanismos de seguridad necesarios para enfrentar el acceso no deseado caen en dos categoras: Seleccionar funciones de guardia apropiadas de modo de identificar usuarios no autorizados y lgica supervidora diseada para detectar y rechazar gusanos, virus u otros ataques similares Implementar controles internos que monitoreen la actividad y analicen la informacin almacenada para intentar detectar la presencia de intrusos
22

Introduccin a la Criptografa
La finalidad de la criptografa es: Garantizar el secreto en la comunicacin entre dos entidades (personas, organizaciones, etc) y, Asegurar que la informacin que se enva es autntica en un doble sentido: que el remitente sea realmente quien dice ser y, que el contenido del mensaje enviado, habitualmente denominado criptograma, no haya sido modificado en su trnsito.
23

Introduccin a la Criptografa
Con ms precisin, cuando se habla de esta rea de conocimiento como ciencia se debera hablar de Criptologa, engloba tanto las tcnicas de cifrado, la criptografa propiamente dicha, y sus tcnicas complementarias: el criptoanlisis o anlisis criptogrfico, que estudia los mtodos que se utilizan para romper textos cifrados con objeto de recuperar la informacin original en ausencia de la clave.
24