Aplicacin de la

Seguridad Informtica
Antologa

Elaborado por: Lic. Manuel Aarn Guerrero Guerrero

Tercer

semestre

Aplicacin de la Seguridad Informtica

Contenido
Unidad I. Introduccin a la seguridad de la informacin .................................................................... 3
1.

Introduccin a la seguridad de la informacin....................................................................... 3

2.

Polticas de seguridad............................................................................................................. 6

3.

Escenarios de ataques a redes ............................................................................................... 7

4.

Cdigo malicioso .................................................................................................................... 9

5.

Principios matemticos para criptografa .............................................................................. 9

6.

Algoritmos de criptografa................................................................................................... 13

7.

Normatividad Nacional e Internacional de seguridad.......................................................... ..16

Unidad II. Administracin de la seguridad ........................................................................................ ..20

1.

Administracin de claves pblicas ....................................................................................... ..20

2.

Administracin de riesgos y continuidad de actividades .................................................... ..21

3.

Prevencin y recuperacin de incidentes ............................................................................ ..23

4.

Proteccin de sistemas operativos...................................................................................... 24

5.

Protocolo SSL y SSL Handshake ............................................................................................ ..24

Unidad III. Mtodos de autenticacin.............................................................................................. ...27

1.

Servicios AAA........................................................................................................................ ...27

2.

Algoritmos de Hash MD5 y SHA-1 ........................................................................................ ...29

3.

Certificados digitales ........................................................................................................... 32

Unidad IV. Firewalls........................................................................................................................... ...36

1.

Medidas de seguridad preventivas y correctivas aplicables a un firewall ........................... .37

2.

Tcnicas de implementacin de Firewall ................................................................................ 39

APLICACIN DE LA SEGURIDAD INFORMATICA

Av. Vicente Guerrero No. 2

Ayotla, Ixtapaluca, Edo. de Mxico C.P. 56560

http://www.conalepmex.edu.mx/
Elaborada por: Lic. en Informtica, Manuel Aarn Guerrero Guerrero

Unidad I. Introduccin a la seguridad de la informacin

Objetivo. El alumno implementar una poltica de seguridad para proteger la informacin de la
organizacin apoyndose en las normas aplicables.

1. Introduccin a la seguridad de la informacin

La seguridad informtica es la disciplina que ocupa de disear normas, procedimientos, mtodos
y tcnicas orientados a proveer condiciones seguras y confiables, para el procesamiento de datos
en sistemas informticos. La decisin de aplicarlos es responsabilidad de cada usuario. La
consecuencia de no hacerlo, tambin.
En trminos generales, la seguridad puede entenderse como aquellas reglas tcnicas y/o
actividades destinadas a prevenir, proteger y resguardar lo que es considerado como susceptible
de robo, prdida o dao, ya sea de manera personal, grupal o empresarial. En este sentido, es la
informacin el elemento principal a proteger, resguardar y recuperar dentro de las redes
empresariales.
Garantizar que los recursos informticos de una compaa estn disponibles para cumplir sus
propsitos, es decir, que no estn daados o alterados por circunstancias o factores externos, es
una definicin til para conocer lo que implica el concepto de seguridad informtica.
La seguridad de la informacin es importante por la existencia de personas ajenas a la
informacin, tambin conocidas como piratas informticos o hackers, que buscan tener acceso a
la red empresarial para modificar, sustraer o borrar datos.
Tales personajes pueden, incluso, formar parte del personal administrativo o de sistemas, de
cualquier compaa; de acuerdo con expertos en el rea, ms de 70 por ciento de las Violaciones e
intrusiones a los recursos informticos se realiza por el personal interno, debido a que ste conoce
los procesos, metodologas y tiene acceso a la informacin sensible de su empresa, es decir, a
todos aquellos datos cuya prdida puede afectar el buen funcionamiento de la organizacin.
Por vulnerabilidad entendemos la exposicin latente a un riesgo. En el rea de informtica,
existen varios riesgos tales como: ataque de virus, cdigos maliciosos, gusanos, caballos de troya y
hackers; no obstante, con la adopcin de Internet como instrumento de comunicacin y
colaboracin, los riesgos han evolucionado y, ahora, las empresas deben enfrentar ataques de
negacin de servicio y amenazas combinadas; es decir, la integracin de herramientas automticas

de "hackeo", accesos no autorizados a los sistemas y capacidad de identificar y explotar las

vulnerabilidades de los sistemas operativos o aplicaciones para daar los recursos informticos.
Especficamente, en los ataques de negacin de servicio, el equipo de cmputo ya no es un blanco,
es el medio a travs del cual es posible afectar todo el entorno de red; es decir, anular los servicios
de la red, saturar el ancho de banda o alterar el sitio web de la compaa. Con ello, es evidente
que los riesgos estn en la red, no en la PC.
Tipos de seguridad informtica
Es muy importante ser consciente que por ms que nuestra empresa sea la ms segura desde el
punto de vista de ataques externos: hackers, virus, etc., la seguridad de la misma ser nula si no se
ha previsto como combatir un incendio.
La seguridad fsica es uno de los aspectos ms olvidados a la hora del diseo de un sistema
informtico. Si bien algunos de los aspectos tratados a continuacin se prevn, otros, como la
deteccin de un atacante interno a la empresa que intenta a acceder fsicamente a una sala de
operaciones de la misma, no.
Esto puede derivar en que para un atacante sea ms fcil lograr tomar y copiar un disco de
respaldo de la sala, que intentar acceder va lgica a la misma.
As, la Seguridad Fsica consiste en la "aplicacin de barreras fsicas y procedimientos de control,
como medidas de prevencin y contramedidas ante amenazas a los recursos e informacin
confidencial". Se refiere a los controles y mecanismos de seguridad dentro y alrededor del Centro
de Cmputo as como los medios de acceso remoto al y desde el mismo; implementados para
proteger el hardware y medios de almacenamiento de datos.
Luego de ver como nuestro sistema puede verse afectado por la falta de seguridad fsica, es
importante recalcar que la mayora de los daos que puede sufrir un centro de cmputo no ser
sobre los medios fsicos sino contra informacin por l almacenada y procesada.
As, la seguridad fsica, slo es una parte del amplio espectro que se debe cubrir para no vivir con
una sensacin ficticia de seguridad. Como ya se ha mencionado, el activo ms importante que se
posee es la informacin, y por lo tanto deben existir tcnicas, ms all de la seguridad fsica, que la
aseguren. Estas tcnicas las brinda la Seguridad Lgica.
Es decir que la Seguridad Lgica consiste en la "aplicacin de barreras y procedimientos que
resguarden el acceso a los datos y slo se permita acceder a ellos a las personas autorizadas para
hacerlo". Existe un viejo dicho en la seguridad informtica que dicta que "todo lo que no est
permitido debe estar prohibido" y esto es lo que debe asegurar la Seguridad Lgica.
La seguridad lgica de un sistema informtico incluye: restringir al acceso a programas y archivos
mediante claves y/o encriptacin. Asignar las limitaciones correspondientes a cada usuario del
sistema informtico, esto significa, no darle ms privilegios extras a un usuario, sino slo los que

necesita para realizar su trabajo. Asegurarse que los archivos y programas que se emplean son los
correctos y se usan correctamente. Por ejemplo, el mal uso de una aplicacin puede ocasionar
agujeros en la seguridad de un sistema informtico. Control de los flujos de entrada/salida de la
informacin. Esto incluye que una determinada informacin llegue solamente al destino que se
espera que llegue, y que la informacin llegue tal cual se envi. Los controles anteriormente
mencionados se pueden hacer a nivel sistema operativo, a nivel aplicacin, a nivel base de datos o
archivo, o a nivel firmware.

Principios de la seguridad informtica

Confidencialidad
La confidencialidad implica mantener los datos privados. En otras palabras, se refiere a la
privacidad de los elementos de informacin almacenados y procesados en un sistema informtico.
Esta privacidad podra acarrear restricciones fsicas y lgicas al acceder a datos delicados o cifrar
trfico a travs de la red. Un sistema que proporciona confidencialidad podra hacer lo siguiente:
-

Utilizar mecanismos de seguridad (como un firewall) para prevenir accesos no autorizados

a los recursos del sistema o la red.
Solicitar las credenciales apropiadas (nombres de usuario y/o contraseas) para acceder a
los recursos del sistema.
Cifrar el trfico de tal forma que un hacker no pueda descifrarlo cuando sea capturado en
la red.

Basndose en este principio, las herramientas de seguridad deben proteger al sistema de

invasiones, intrusiones y accesos, por parte de personas o programas no autorizados. Este
principio es importante principalmente en sistemas distribuidos, es decir, aquellos en los que
usuarios, computadoras y datos residen en localidades diferentes, pero estn fsicamente y
lgicamente conectados.
Integridad
La integridad significa que los datos no sean modificados. Es decir, se refiere a la validez y
consistencia de los elementos de informacin almacenados y procesados en un sistema
informtico. Tambin, una solucin en la integridad de los datos podra realizar autenticacin de
origen para verificar que el trfico est originndose en una fuente confiable.
Basndose en este principio, las herramientas de seguridad deben asegurar que los procesos de
actualizacin estn sincronizados y no se dupliquen, de forma que todos los elementos del sistema
manipulen adecuadamente los mismos datos. Este principio es particularmente importante en
sistemas descentralizados, es decir, aquellos en los que diferentes usuarios, computadoras y
procesos comparten la misma informacin.

Disponibilidad
La disponibilidad es una medida de la accesibilidad a los datos. Por ejemplo, si un servidor se cae
solamente 5 minutos por ao, tendra una disponibilidad de 99.999%. Es decir, la disponibilidad se
refiere a la continuidad de acceso a los sistemas de informacin almacenados y procesados en un
sistema informtico.
Basndose en este principio, las herramientas de seguridad informtica deben reforzar la
permanencia del sistema informtico, en condiciones de actividad adecuadas para que los
usuarios accedan a los datos con la frecuencia y dedicacin que requieran. Este principio es
particularmente importante en sistemas informticos cuyo compromiso con el usuario es prestar
servicio permanente.
Control de acceso
El control de acceso constituye uno de los servicios de seguridad que es indispensable, existe una
gran variedad de formas y mtodos para implementar un control de acceso. El primer paso que
tenemos que tomar en cuenta para la implementacin de un control de acceso es el acceso fsico
as como el personal que est autorizado para entrar aciertos permetros donde se encuentran los
sistemas. Lo siguiente, es implementar polticas para el control de acceso sobre los datos. El
usuario que desarrolla, adquiere u obtiene un archivo (programa, aplicacin, dispositivo, etc.) se
considera como su dueo, y como tal es el nico que puede asignar derechos de otros usuarios
sobre el archivo. Constituye metodologa y polticas de control de acceso que permiten a un
usuario negar o aceptar el uso de sus archivos. Se implementa mediante: bits de permiso sistemas
de contraseas listas de capacidades listas de control de acceso.

2. Polticas de seguridad
Una poltica de seguridad informtica es un conjunto de reglas que definen la manera en que una
organizacin maneja, administra, protege y asigna recursos para alcanzar el nivel de seguridad
definido como objetivo.
Una poltica de seguridad es un conjunto de requisitos definidos por los responsables de un
sistema, que indica, en trminos generales, que est y que no est permitido en rea de seguridad
durante la operacin general del sistema.
La RFC 1244 define Poltica de Seguridad como: "una declaracin de intenciones de alto nivel que
cubre la seguridad de los sistemas informticos y que proporciona las bases para definir y

delimitar responsabilidades para las diversas actuaciones tcnicas y organizativas que se

requerirn."
Cualquier poltica de seguridad ha de contemplar los elementos claves de seguridad ya
mencionados: la Integridad, Disponibilidad, Privacidad y, adicionalmente, Control, Autenticidad y
Utilidad.
No debe tratarse de una descripcin tcnica de mecanismos de seguridad, ni de una expresin
legal que involucre sanciones a conductas de los empleados. Es ms bien una descripcin de los
que deseamos proteger y el porqu de ello.
El objetivo principal de una poltica de seguridad es proteger los activos de una organizacin.
Estos, no se reducen simplemente a cosas tangibles, sino cosas como: propiedad intelectual,
procesos y procedimientos, datos de usuario, funciones especficas de servidores (por ejemplo,
web o correo electrnico).

3. Escenarios de ataques a redes

Una forma til de clasificar los ataques a la seguridad, empleada en la recomendacin X.800 y RFC
2828, es la distincin entre ataques pasivos y ataques activos. Un ataque pasivo intenta conocer o
hacer uso de informacin del sistema, pero no afecta los recursos del mismo. Un ataque activo,
por el contrario, intenta alterar los recursos del sistema o afectar su funcionamiento.
Ataques pasivos
Los ataques pasivos se dan en forma de escucha o de observacin no autorizadas de las
transmisiones. El objetivo del oponente es obtener informacin que se est transmitiendo. Dos
tipos de ataques pasivos son la obtencin de contenidos de mensajes y el anlisis de trfico
(sniffing). La obtencin de contenidos de mensajes se entiende fcilmente. Una conversacin
telefnica, un mensaje por correo electrnico y un archivo enviado pueden contener informacin
confidencial. Queremos evitar que un oponente conozca los contenidos de estas transmisiones.
Un segundo tipo de ataque pasivo, el anlisis de trfico, es ms sutil. Supongamos que hemos
enmascarado los contenidos de los mensajes u otro trfico de informacin de forma que el
oponente, incluso habiendo capturado el mensaje, no pueda extraer la informacin que contiene.
La tcnica comn para enmascarar los contenidos es el cifrado. Incluso si tuvisemos proteccin
mediante cifrado, un oponente podra observar el patrn de los mensajes, determinar la
localizacin y la identidad de los servidores que se comunican y descubrir la frecuencia y la

longitud de los mensajes que se estn intercambiando. Esta informacin puede ser til para
averiguar la naturaleza de la comunicacin que est teniendo lugar.
Los ataques pasivos son muy difciles de detectar ya que no implican alteraciones en los datos.
Normalmente, el mensaje se enva y recibe de una forma aparentemente normal y ni el emisor ni
el receptor son conscientes de que una tercera persona ha ledo los mensajes o ha observado el
patrn de trfico. Sin embargo, es posible evitar el xito de estos ataques, normalmente mediante
el uso del cifrado. As, al tratar con los ataques pasivos, el nfasis se pone ms en la prevencin
que en la deteccin.
Ataques activos
Los ataques activos implican alguna modificacin del flujo de datos o la creacin de un flujo falso y
se pueden dividir en cuatro categoras: suplantacin de identidad (phishing), repeticin,
modificacin de mensajes e interrupcin del servicio.
Una suplantacin se produce cuando una entidad finge ser otra. Un ataque de este tipo incluye
habitualmente una de las otras formas de ataque activo. Por ejemplo, las secuencias de
autentificacin pueden ser capturadas y repetidas despus de que una secuencia vlida de
autentificacin haya tenido lugar, permitiendo as, que una entidad autorizada con pocos
privilegios obtenga privilegios extra hacindose pasar por la entidad que realmente los posee.
La repeticin implica la captura pasiva de una unidad de datos y su retransmisin posterior para
producir un efecto no autorizado.
La modificacin de mensajes significa que una parte de un mensaje original es alterada, o que los
mensajes se han retrasado o reordenado, para producir un efecto no autorizado. Por ejemplo, el
mensaje permitir a Jess Snchez que lea las cuentas de archivos confidenciales se modifica para
convertirlo en permitir a Juan Snchez que lea las cuantas de archivos confidenciales.
La interrupcin del servicio impide el uso o la gestin normal de las utilidades de comunicacin.
Este ataque podra tener un objetivo especfico; por ejemplo, una entidad podra suprimir todos
los mensajes dirigidos a un destino en particular. Otra forma de este tipo de ataque es la
interrupcin de una red completa, ya sea inhabilitndola o sobrecargndola con mensajes para
reducir su rendimiento.
Los ataques activos presentan las caractersticas opuestas a los pasivos. Aunque los ataques
pasivos son difciles de detectar, existen medidas para prevenir su xito. Sin embargo, es bastante
difcil prevenir por completo los ataques activos, debido a que se requerira proteccin fsica de
todas las herramientas de comunicacin y las rutas en todo momento. Por el contrario, el objetivo
es el de detectarlos y recuperarse de cualquier interrupcin o retraso que originen. Como la
deteccin tiene un efecto disuasivo, tambin podra contribuir a la prevencin.

4. Cdigo malicioso

Podemos definir el trmino cdigo malicioso como todo programa o fragmento de cdigo, que
genera en su accionar, algn tipo de problema en el sistema de cmputo en el cual se ejecuta,
interfiriendo de esta forma con el normal funcionamiento del mismo. Existe una cierta confusin
en lo que a la clasificacin de los distintos cdigos maliciosos se refiere. No es raro ver cmo se
utilizan trminos tales como "virus" o "gusano" indistintamente. Sin embargo, cada uno de estos
nombres responde a un tipo de cdigo malicioso en concreto que posee caractersticas propias.
En realidad, todos los cdigos maliciosos pueden englobarse dentro de un concepto mucho ms
amplio denominado malware, y que puede definirse como cualquier programa, documento o
mensaje susceptible de causar perjuicios a los usuarios de sistemas informticos.
As, dentro del malware se encuentran los llamados genricamente virus. Se trata del tipo de
cdigo malicioso ms abundante y que, por lo tanto, suele protagonizar los incidentes ms graves.
Sin embargo, en realidad, el conjunto de los virus est compuesto por tres subgrupos: virus,
gusanos y troyanos.
Los virus son programas informticos capaces de multiplicarse mediante la infeccin de otros
programas mayores e intentan permanecer ocultos en el sistema hasta darse a conocer. Pueden
introducirse en las computadoras de formas muy diversas, produciendo efectos molestos, nocivos
e incluso destructivos e irreparables.
Por su parte, un gusano es un programa similar a un virus que, a diferencia de ste, solamente
realiza copias de s mismo, o de partes de l. As, no necesita infectar otros archivos para poder
multiplicarse.
Finalmente, los troyanos son programas que llegan al ordenador por cualquier medio, se
introducen en l, se instalan y realizan determinadas acciones para tomar el control del sistema
afectado. La historia mitolgica "El caballo de Troya" ha inspirado su nombre.
Los programas que conocemos como "antivirus" tienen como misin principal detectar y eliminar
los tipos de cdigos maliciosos antes mencionados, ya que, en la prctica, son los que pueden
causar daos ms importantes a los sistemas.

5. Principios matemticos para criptografa

Segn la Real Academia Espaola, la criptografa se define como arte de escribir con clave
secreta o de algn modo enigmtico. 3 Lo cual, podra ser un poco utpico para nuestros tiempos.
Una definicin ms formal, nos indica que la criptografa es una rama inicial de las matemticas y
en la actualidad tambin de la informtica y la telemtica, que hace uso de mtodos y tcnicas con
el objeto principal de cifrar, y por lo tanto proteger, un mensaje o archivo por medio de un algoritmo,
usando una o ms claves.

10

Habitualmente, se usan dos formas de cifrado: cifrado convencional o simtrico, y cifrado de

clave pblica o asimtrica.
Cifrado simtrico (criptografa simtrica)
Tambin conocido como cifrado convencional o cifrado de clave privada, el cifrado simtrico es la
tcnica ms antigua y mejor conocida. Una clave secreta -o privada-, que puede ser un nmero,
una palabra o simplemente una cadena de letras, aleatorias, se aplica al texto de un mensaje para
cambiar el contenido en un modo determinado. Esto podra ser tan sencillo como desplazando
cada letra a un nmero de posiciones en el alfabeto. Siempre que el remitente y destinatario
conocen la clave secreta, puede cifrar y descifrar todos los mensajes que utilizan esta clave.
Esta tcnica consiste en el uso de una clave que es conocida tanto por el emisor como por el
receptor y, se supone, por nadie ms. La siguiente figura muestra un esquema de este tipo

Figura 1. Cifrado simtrico

E y R conocen la clave K. El emisor E, desea transmitir el mensaje Mensaje a R. Para ello,

utilizando determinado algoritmo de cifrado simtrico y la clave K, genera el mensaje Mensajek,
que es transmitido a R. ste, aplicando la misma clave y el algoritmo inverso, obtiene nuevamente
el mensaje original.

11

Quizs el ejemplo ms simple del cifrado simtrico sea el juego de nios de desplazar las letras del
mensaje una determinada cantidad de posiciones: Por ejemplo, cifrar el mensaje ``Hola Mundo''
como ``Ipmb Nvep'', desplazando las letras una posicin. En este caso, la clave que ambas partes
deben conocer es la cantidad de posiciones que se desplazaron las letras.
Es importante observar que la seguridad del cifrado simtrico depende de la privacidad de la clave,
no de la privacidad del algoritmo. Es decir, se asume que no es prctico descifrar un mensaje
teniendo el texto cifrado y conociendo el algoritmo de cifrado/descifrado. En otras palabras, no es
necesario que el algoritmo sea secreto; lo nico que hay que mantener en secreto es la clave.
Esta caracterstica del cifrado simtrico es la causa de su uso tan extendido. El hecho de que el
algoritmo no sea secreto significa que los fabricantes pueden desarrollar y han desarrollado
implementaciones con chips de bajo costo de los algoritmos de cifrado de datos. Estos chips se
pueden conseguir fcilmente y se han incorporado a una serie de productos. Con el uso del cifrado
simtrico, el problema principal consiste en mantener la privacidad de la clave.
Cifrado asimtrico (criptografa asimtrica)
Tambin conocido como cifrado de clave pblica, fue propuesto por primera vez por Diffie y
Hellman en 1976. Es el primer avance realmente revolucionario en el cifrado en miles de aos. El
motivo es que los algoritmos de clave pblica estn basados en funciones matemticas y no en
simples operaciones sobre los patrones de bits. Adems, la criptografa de clave pblica es
asimtrica, lo que implica el uso de dos claves separadas, a diferencias del cifrado simtrico
convencional, que emplea slo una clave. El uso de dos claves, tiene importantes consecuencias
en el terreno de la confidencialidad, la distribucin de claves y la autentificacin.

Figura 2. Cifrado asimtrico

12

Las tcnicas de cifrado asimtrico se basan en el uso de dos claves: una pblica y otra privada. En
el ejemplo de la figura 2, R posee dos claves KR (su clave privada, conocida solo por l) y KRP (su
clave pblica, conocida por cualquiera). En este ejemplo, E desea transmitir el mensaje Mensaje
a R, de manera que nadie, excepto este ltimo, pueda conocer su contenido. Para ello, utilizando
la clave KRP y un algoritmo de cifrado asimtrico, genera el mensaje MensajeKR, el cual es
transmitido. Luego, R, utilizando el algoritmo inverso y su clave privada KR, reproduce el mensaje
original.

Figura 3. Diferencias entre el cifrado simtrico y el asimtrico

Los pasos fundamentales del cifrado asimtrico son los siguientes:

1. Cada usuario genera una pareja de claves para el cifrado y el descifrado de mensajes.
2. Cada usuario localiza una de las dos claves en un registro pblico u otro archivo accesible.
Esta es la clave pblica. La otra clave no se revela. Cada usuario mantiene un grupo de
claves pblicas que han obtenido de otros.
3. Como se muestra en la figura 3, si Andrea quiere enviar un mensaje privado a Bruno, cifra
el mensaje usando la clave pblica de Bruno.
4. Cuando Bruno recibe el mensaje, lo descifra usando su clave privada. Ningn otro receptor
puede descifrar el mensaje porque slo Bruno conoce su clave privada.
En este enfoque, todos los participantes tienen acceso a las claves pblicas, y las claves privadas
las genera cada participante de forma local y, por lo tanto, nunca necesitan ser distribuidas.
Mientas el usuario proteja su clave privada, la comunicacin entrante es segura. En cualquier
momento un usuario puede cambiar la clave privada y publicar la clave pblica que la acompaa
para sustituir la clave pblica antigua.
La clave empleada en el cifrado convencional se denomina comnmente clave secreta. Las dos
claves empleadas para el cifrado de clave pblica se denominan clave pblica y clave privada.
Invariablemente, la clave privada se mantiene en secreto, en vez de llamarse clave secreta se
llama clave privada para evitar confusiones con el cifrado convencional.

13

6. Algoritmos de criptografa
Los algoritmos de cifrado simtrico pueden ser divididos en algoritmos de bloques y algoritmos de
flujo. Los algoritmos de cifrado en bloques transforman bloques de texto plano de n bits a bloques
de texto cifrado de n bits bajo la influencia de una clave k. Los algoritmos de cifrado de flujo son
algoritmos que pueden realizar el cifrado incrementalmente, convirtiendo el texto plano en texto
cifrado bit a bit. Es decir, el cifrado por flujo protege un texto plano bit a bit mientras que el
cifrado por bloques toma un nmero de bits y lo encapsula como una unidad simple
En las secciones siguientes, se describen los algoritmos de cifrado de bloque ms importantes: el
DES, 3DES, AES y el RSA.
DES (Data Encryption Standard)
El esquema de cifrado ms extendido se basa en DES. El cual, fue desarrollado
en 1977 y rpidamente se convirti en un estndar por el gobierno de los
Estados Unidos y otros pases. DES es un cifrado en bloques con una longitud
de 64 bits por bloque (pueden ser 16 nmeros hexadecimales), de los que 8
bits se utilizan como control de paridad, por lo tanto la clave tiene una
longitud til de 56 bits, es decir, realmente se utilizan slo 56 bits del
algoritmo
El algoritmo se encarga de realizar combinaciones, sustituciones y
permutaciones entre el texto a cifrar y la clave, asegurndose al mismo tiempo
de que las operaciones puedan realizarse en ambas direcciones (para el
descifrado). Hay 16 etapas del proceso. Se generan 16 subclaves partiendo de
la clave original, una para cada etapa.
La clave es codificada en 64 bits y se compone de 16 bloques de 4 bits,
generalmente nombrados de k1 a k16. Dado que solamente 56 bits sirven
56
16
para el cifrado, puede haber hasta 2 (o 7.2 x 10 ) claves diferentes.
Fig. 4. Algoritmo DES

Ejemplo
Texto a cifrar:

Your lips are smoother than Vaseline

(36 caracteres + Chr(13) + Chr(10))

En hexadecimal
596F7572206C6970
68616E2076617365
Clave:
Texto Cifrado:

732061726520736D
6F6F746865722074
6C696E650D0A0000 (relleno)

0E329232EA6D0D73

14

C0999FDDE378D7ED
D9D52F78F5358499

727DA00BCA5A84EE
47F269A4D6438190
828AC9B453E0E653

3DES (Triple DES)

El triple DES se estandariz inicialmente para aplicaciones financieras en el estndar ANSI en 1985.
El algoritmo 3DES desarrollado por Tuchman en 1978, es una manera de mejorar la robustez del
algoritmo DES que consiste en aplicarlo 3 veces consecutivas. Se puede aplicar con la misma clave
cada vez o con claves distintas y combinando el algoritmo de cifrado con el de descifrado. El
resultado es un algoritmo seguro y que se utiliza en la actualidad, aunque resulta muy lento
comparado con otros algoritmos ms modernos que tambin son seguros.

AES (Advanced Encryption Standard)

El algoritmo 3DES tiene dos atractivos que aseguran su uso durante los prximos aos. Primero,
son su longitud de clave de 168 bits evita la vulnerabilidad al ataque de fuerza bruta del DES.
Segundo, el algoritmo de cifrado que se usa es el mismo que en el DES. Este algoritmo ha estado
sujeto a ms escrutinios que ningn otro en un largo periodo de tiempo, y no se ha encontrado
ningn ataque criptoanlitico efectivo basado en el algoritmo que no sea la fuerza bruta. Por
tanto, hay un alto grado de seguridad en la resistencia al criptoanlisis del 3DES. Si la seguridad
fuera la nica consideracin, el 3DES sera una eleccin adecuada para un algoritmo de cifrado
estndar durante las prximas dcadas.
El inconveniente principal del 3DES es que el algoritmo es relativamente lento en su
implementacin software. El DES original se dise para implementaciones hardware de mediados
de los 70 y no produce cdigo software eficiente. El 3DES tiene 3 veces ms etapas que el DES y,
por ello, es ms lento. Un inconveniente secundario es que tanto el DES como el 3DES usan un
tamao de bloque de 64 bits. Por razones tanto de eficiencia como de seguridad, es preferible un
mayor tamao de bloque.
Debido a estos inconvenientes, el 3DES no es un candidato razonable para usarlo durante mucho
tiempo. Para reemplazarlo, el NIST (National Institute of Standards and Technology) realiz en
1997 un concurso de propuestas para el desarrollo de un nuevo estndar de cifrado avanzado
(AES), que deber ser tan robusto o ms que el 3DES y que mejorara significativamente la
eficiencia. Adems de esos trminos generales, el NIST especific que el AES deba ser un cifrador
simtrico de bloque con una longitud de bloque de 128 bits y permitir longitudes de clave de 128,
192 y 256 bits. Los criterios de evaluacin incluyeron seguridad, eficiencia computacional,
requisitos de memoria, la idoneidad para hardware y software y la flexibilidad.

15

El algoritmo seleccionado por el NIST como propuesta del AES fue el Rijndael, desarrollado y
presentado por dos criptgrafos belgas: Dr. Joan Deamen y Dr. Rijmen.
RSA (Rivest, Shamir Adleman)
El algoritmo RSA es uno de los algoritmos de clave pblica (asimtricos) ms usados. Fue publicado
en 1978 por Ron Rivest, Adi Shamir y Len Adleman en el MIT y ha sido desde entonces el enfoque
ms aceptado e implementado para el cifrado de clave pblica.
El sistema RSA se basa en el hecho matemtico de la dificultad de factorizar nmeros muy
grandes. Para factorizar un nmero el sistema ms lgico consiste en empezar a dividir
sucesivamente ste entre 2, entre 3, entre 4,..., y as sucesivamente, buscando que el resultado de
la divisin sea exacto, es decir, de resto 0, con lo que ya tendremos un divisor del nmero.
Ahora bien, si el nmero considerado es un nmero primo (el que slo es divisible por 1 y por l
mismo), tendremos que para factorizarlo habra que empezar por 1, 2, 3,..........
hasta llegar a l
mismo, ya que por ser primo ninguno de los nmeros anteriores es divisor suyo. Y si el nmero
primo es lo suficientemente grande, el proceso de factorizacin es complicado y lleva mucho
tiempo.
Basado en la exponenciacin modular de exponente y mdulo fijos, el sistema RSA crea sus claves
de la siguiente forma:

Se buscan dos nmeros primos lo suficientemente grandes: p y q (de entre 100 y 300
dgitos).
Se obtienen los nmeros n = p * q y = (p - 1) * (q - 1).
Se busca un nmero e tal que no tenga mltiplos comunes con .
Se calcula d = e - 1 mod , con mod = resto de la divisin de nmeros enteros.
Y ya con estos nmeros obtenidos, n es la clave pblica y d es la clave privada. Los
nmeros p, q y se destruyen. Tambin se hace pblico el nmero e, necesario para
alimentar el algoritmo.

El clculo de estas claves se realiza en secreto en la mquina en la que se va a guardar la clave

privada, y una vez generada sta conviene protegerla mediante un algoritmo criptogrfico
simtrico.
En cuanto a las longitudes de claves, el sistema RSA permite longitudes variables, siendo
aconsejable actualmente el uso de claves de no menos de 1024 bits (se han roto claves de hasta
512 bits, aunque se necesitaron ms de 5 meses y casi 300 computadoras trabajando juntos para
hacerlo).
RSA basa su seguridad es ser una funcin computacionalmente segura, ya que si bien realizar la
exponenciacin modular es fcil, su operacin inversa, la extraccin de races de mdulo no es
factible a menos que se conozca la factorizacin de e, clave privada del sistema.

16

RSA es el ms conocido y usado de los sistemas de clave pblica, y tambin el ms rpido de ellos.
Presenta todas las ventajas de los sistemas asimtricos, incluyendo la firma digital, aunque resulta
ms til a la hora de implementar la confidencialidad el uso de sistemas simtricos, por ser ms
rpidos. Se suele usar tambin en los sistemas mixtos para encriptar y enviar la clave simtrica que
se usar posteriormente en la comunicacin cifrada.
Ejemplo de RSA
Un ejemplo trivial del algoritmo RSA se muestra a continuacin. Para este ejemplo hemos
seleccionado p=17 y q=11, dando n=187 (11x17) y =160 (16x10). Un valor adecuado de e es 7.
Con estas selecciones, d puede encontrarse determinando tal que d x e mod 160 = 1 y d < 160. El
valor correcto es d = 23, porque 23x7 = 161 mod 160 = 1 y 23 < 160. El texto cifrado, C, de un
7
mensaje de texto normal, P, se da por la regla C = P (mod 187). El texto cifrado lo descifra el
23
receptor de acuerdo con la regla P = C (mod 187). Observe tanto en el emisor como en el
7

23

23

Simblico

Numrico

P (mod 187)

Texto cifrado
(C)

C (mod 187)

Simblico

05

78125

146

146

A
S

01
19

1
893831739

1
145

1
145

1
19

A
S

01

6.027201112
78914050922
9245261707e
+49
1
5.145932099
52046367018
32036647081
e+49
1

Tabla 1. Ejemplodel
deltexto
algoritmo
RSA "CASA".
receptor, donde se muestra el cifrado-descifrado
normal

Otro ejemplo
Clave pblica (7,187), clave privada (23,187).
88 Cifrado
mod 187 = 11

11 Descifrado
mod 187 = 88

7 23

Texto plano 88

Texto cifrado 11

Texto plano 88

7. Normatividad Nacional e Internacional de seguridad

ISO 27001
Publicada el 15 de Octubre de 2005. Es la norma principal de la serie y contiene los requisitos del
sistema de gestin de seguridad de la informacin. Tiene su origen en la BS 7799-2:2002 (que ya
qued anulada) y es la norma con arreglo a la cual se certifican por auditores externos los SGSIs

17

(Sistemas de Gestin de Seguridad de la Informacin) de las organizaciones. En su Anexo A,

enumera en forma de resumen los objetivos de control y controles que desarrolla la ISO
27002:2005 (nueva numeracin de ISO 17799:2005 desde el 1 de Julio de 2007), para que sean
seleccionados por las organizaciones en el desarrollo de sus SGSI; a pesar de no ser obligatoria la
implementacin de todos los controles enumerados en dicho anexo, la organizacin deber
argumentar slidamente la no aplicabilidad de los controles no implementados. En Mxico, est
publicada bajo la norma NMX-I-041/02-NYCE

ISO 27002
Desde el 1 de Julio de 2007, es el nuevo nombre de ISO 17799:2005, manteniendo 2005 como ao
de edicin. Es una gua de buenas prcticas que describe los objetivos de control y controles
recomendables en cuanto a seguridad de la informacin. No es certificable. Contiene 39 objetivos
de control y 133 controles, agrupados en 11 dominios. Como se ha mencionado en su apartado
correspondiente, la norma ISO 27001 contiene un anexo que resume los controles de ISO
27002:2005.

COBIT
El IT Governance Institute fue establecido por ISACA (Information Systems Audit and Control
Association) en 1998 para aclarar y orientar en cuestiones actuales y futuras relativas a la
administracin, seguridad y aseguramiento TI. Como consecuencia de su rpida difusin
internacional, ambas instituciones disponen de una amplia gama de publicaciones y productos
diseados para apoyar una gestin efectiva de las TI en el mbito de la empresa.
Uno de sus documentos ms conocidos, referencia a nivel mundial, es CobiT (Objetivos de control
para tecnologas de la informacin y similares).
Se trata de un marco compatible con ISO 27002 (anterior ISO 17799:2005) y COSO, que incorpora
aspectos fundamentales de otros estndares relacionados; por tanto, aquellas empresas y
organizaciones que hayan evolucionado segn las prcticas sealadas por CobiT estn ms cerca
de adaptarse y lograr la certificacin en ISO 27001.

18

CobiT se estructura en cuatro partes; la principal de ellas se divide de acuerdo con 34 procesos de
TI. Cada proceso se cubre en cuatro secciones (objetivo de control de alto nivel para el proceso, los
objetivos de control detallados, directrices de gestin y el modelo de madurez para el objetivo)
que dan una visin completa de cmo controlar, gestionar y medir el proceso. Utiliza un ciclo de
vida de tipo PDCA (Plan-Do-Check-Act) que lo integra en los procesos de negocio.
No existe un certificado en las prcticas indicadas por CobiT, aunque ISACA s ofrece la posibilidad
a ttulo personal de obtener certificaciones como Certified Information Systems Auditor (CISA),
Certified Information Security Manager (CISM) y "Certified in the Governance of Enterprise IT"
CGEIT.

Figura 4. Marco de trabajo Cobit 4.0

NIST Serie 800

El National Institute of Standards and Technology (NIST), fundado en 1901, es un organismo
federal no regulador que forma parte de la Administracin de Tecnologa (Technology
Administration) del Departamento de Comercio (Department of Commerce) de los EE.UU.

19

La misin del NIST consiste en elaborar y promover patrones de medicin, normas y tecnologa
con el fin de incrementar la productividad, facilitar el comercio y mejorar la calidad de vida.
Distintos principios y prcticas en seguridad comunes y de aplicacin tanto en agencias
gubernamentales como en corporaciones privadas estn recogidos en una larga lista de
publicaciones identificadas bajo la Serie 800 y disponibles para su libre descarga .
Estas guas y directrices son documentos muy elaborados y de reconocido prestigio, que cubren
mltiples aspectos relacionados con la seguridad de la informacin y que pueden servir de apoyo a
la hora de desarrollar polticas, procedimientos y controles.
WebTrust
WebTrust es el sello de confianza, calidad y seguridad que se concede a la pgina Web de la
empresa que, previamente ha obtenido un Informe Favorable de Auditora Independiente, por
una Firma de Auditora Habilitada para la Prestacin de Servicios WebTrust al cumplir, durante un
cierto periodo de tiempo, los Criterios y Principios WebTrust, establecidos por las entidades
promotoras y licenciatarias del sello; Instituto Americano de Auditores Pblicos de Cuentas
(AICPA), Instituto Canadiense de Auditores de Cuentas (CICA), e Instituto de Auditores Censores
Jurados de Cuentas de Espaa (IACJCE).
Desde el ao 1997, se han desarrollado y mejorado (tres versiones) los Principios y Criterios que
debe cumplir un sitio Web para que obtenga el sello, a la vez que se han ido otorgando licencias
a los colectivos ms representativos de Auditores en los principales pases de todo el mundo, que
han iniciado el proceso de desarrollo de la nueva actividad para los auditores de dichos pases, de
forma que WebTrust se ha convertido en el mtodo ms efectivo de transmitir confianza para los
usuarios de Internet.

20

Unidad II. Administracin de la seguridad

Objetivo. El alumno administrar la seguridad informtica para garantizar la disponibilidad de la
informacin.

1. Administracin de claves pblicas

Una de las funciones principales del cifrado de clave pblica es la del tratar del problema de la
distribucin de claves. Hay dos aspectos fundamentales sobre el uso del cifrado de clave pblica
en este sentido:

La distribucin de claves pblicas.

El uso de cifrado de clave pblica para distribuir clave secreta.

Certificados de clave pblica

A la vista de todo esto, la base del cifrado de clave pblica se encuentra en el hecho de que la
clave pblica es pblica. As, si hay un algoritmo de clave pblica aceptado, como el RSA, cualquier
participante puede enviar su clave pblica a cualquier otro o difundir la clave a la comunidad en
general. Aunque este enfoque es conveniente, presenta una debilidad fundamental: cualquiera
puede falsificar ese dato pblico. Es decir, un usuario podra hacerse pasar por el usuario A y
enviar una clave pblica a otro participante o difundirla. Hasta el momento en que A descubre la
falsificacin y alerta a los otros participantes, el falsificador puede leer todos los mensajes cifrados
enviados a A y puede usar las claves falsificadas para la autentificacin.
La solucin a este problema es el certificado de clave pblica. Bsicamente, un certificado consiste
en una clave pblica y un identificador o nombre de usuario del dueo de la clave, con todo el
bloque firmado por una tercera parte confiable. Comnmente, la tercera parte una autoridad de
certificacin (CA, Certificate Authority) en la que confa la comunidad de usuarios, que podra ser
una entidad gubernamental o una institucin financiera. Un usuario puede presentar su clave
pblica a la autoridad de forma segura, obtener su certificado y luego publicarlo. Cualquiera que
necesite la clave pblica de este usuario puede obtener el certificado y verificar que es vlida por
medio de la firma fiable adjunta.
El esquema que se ha aceptado mundialmente para el formateo de los certificados de clave
pblica es el estndar X.509, cuyos certificados se emplean en la mayora de las aplicaciones de
seguridad de redes, incluyendo la seguridad IP, las capas de conexin segura (SSL), las
transacciones electrnicas seguras (SET) y S/MIME.

21

Distribucin de claves secretas mediante criptografa de clave pblica

Con el cifrado convencional, un requisito fundamental para que las dos partes se comuniquen de
forma segura es que compartan la clave secreta. Supongamos que Benito quiere crear una
aplicacin de mensajes que le permita intercambiar correo electrnico de manera segura con
alguien que tiene acceso a internet o a otra red que ambos comparten. Supongamos, adems, que
quiere hacerlo usando cifrado convencional. Con el cifrado convencional, Benito y su interlocutor,
Alicia, deben acordar una forma de compartir una clave secreta que nadie ms conozca. Cmo
podrn hacerlo? Si Alicia se encuentra en la habitacin contigua de Benito, ste podra generar
una clave y anotarla en un papel o guardarla en un disquete y entregarla a Alicia. Pero si Alicia est
en el otro extremo del continente o del mundo, qu puede hacer Benito? Podra cifrar la clave
usando cifrado convencional y enviarla por correo electrnico a Alicia, pero esto significa que
ambos deben compartir una clave secreta para cifrar esta nueva clave secreta. Adems, Benito y
todo aquel que use este nuevo paquete de correo electrnico se enfrenta al mismo problema con
cada posible interlocutor: cada pareja de interlocutores debe compartir una clave secreta nica.
Un enfoque consistente en el uso del intercambio de clave de Diffie-Hellman, que, de hecho, est
muy extendido. Sin embargo, tiene la desventaja de que en su forma ms simple el algoritmo
Diffie-Hellman no proporciona la autentificacin de las dos partes que se comunican.
Una alternativa vlida es el uso de los certificados de clave pblica. Cuando Benito quiere
comunicarse con Alicia, puede hacer lo siguiente:
a. Preparar un mensaje.
b. Cifrar el mensaje usando cifrado convencional con una clave de sesin
convencional.
c. Cifrar la clave de sesin utilizando el cifrado de clave pblica con la clave pblica
de Alicia.
d. Aadir la clave de sesin cifrada al mensaje y enviarlo a Alicia.
Solo Alicia puede descifrar la clave de sesin y, por lo tanto, recuperar el mensaje original. Si
Benito obtuvo la clave pblica de Alicia a travs del certificado de clave pblica de Alicia, est
seguro de que se trata de una clave vlida.

2. Administracin de riesgos y continuidad de actividades

Muchas organizaciones se han introducido en la administracin de riesgos de seguridad debido a
la necesidad de responder a una incidencia de seguridad relativamente pequea. Por ejemplo, el
equipo de un empleado se infecta con un virus y un responsable de la oficina convertido en
experto informtico debe averiguar cmo tiene que erradicar el virus sin destruir el equipo ni los
datos que contiene. Independientemente de cul sea la incidencia inicial, a medida que aparecen

22

cada vez ms problemas relacionados con la seguridad y comienzan a tener repercusiones en los
negocios, muchas organizaciones sienten frustracin al tener que responder a una crisis tras otra.
Desean una alternativa a este enfoque reactivo, una alternativa que reduzca la probabilidad de
que las incidencias de seguridad se produzcan en primer lugar. Las organizaciones que administran
el riesgo de forma eficaz evolucionan a un enfoque ms proactivo pero esto slo constituye parte
de la solucin.

Enfoque reactivo
Actualmente, muchos profesionales de tecnologa de informacin (TI) sienten una tremenda
presin para terminar sus tareas rpidamente y provocar las menos incomodidades posibles a los
usuarios. Cuando se produce una incidencia de seguridad, muchos profesionales de TI piensan que
lo nico para lo que tienen tiempo de hacer es contener la situacin, averiguar qu ha sucedido y
reparar los sistemas lo ms rpidamente posible. Algunos pueden intentar identificar la causa
principal, pero esto incluso puede parecer un lujo para los que tienen grandes restricciones de
recursos. Aunque un enfoque reactivo puede constituir una respuesta tctica eficaz a los riesgos
de seguridad descubiertos y se han convertido en incidencias de seguridad, la imposicin de un
pequeo nivel de rigor al enfoque reactivo puede permitir que las organizaciones de cualquier tipo
utilicen mejor sus recursos.

Enfoque proactivo
La administracin de riesgos de seguridad proactiva tiene numerosas ventajas con respecto a un
enfoque reactivo. En vez de esperar a que suceda lo peor y, a continuacin, llevar a cabo la
respuesta, se minimiza la posibilidad de que pase lo peor antes de que se produzca. Se trazan
planes para proteger los activos importantes de la organizacin mediante la implementacin de
controles que reduzcan el riesgo de que el software malintencionado, los piratas informticos o un
uso incorrecto accidental aprovechen las vulnerabilidades. Esta idea se puede ilustrar con una
analoga. La gripe es una enfermedad respiratoria mortal que infecta a millones de personas en
Estados Unidos cada ao. De ellas, ms de 100.000 deben recibir tratamiento en hospitales y cerca
de 36.000 mueren. Podra tratar la amenaza de la enfermedad esperando a infectarse y, despus,
tomar la medicina para tratar los sntomas si enferma. O tambin podra optar por vacunarse
antes de que comenzara la temporada de la gripe.

23

3. Prevencin y recuperacin de incidentes

Resulta importante establecer polticas de seguridad, las cuales van desde el monitoreo de la
infraestructura de red, los enlaces de telecomunicaciones, la realizacin del respaldo de datos y
hasta el reconocimiento de las propias necesidades de seguridad, para establecer los niveles de
proteccin de los recursos.

Las polticas debern basarse en los siguientes pasos:

Identificar y seleccionar lo que se debe proteger (informacin sensible)

Establecer niveles de prioridad e importancia sobre esta informacin

Conocer las consecuencias que traera a la compaa, en lo que se refiere a

costos y productividad, la prdida de datos sensibles

Identificar las amenazas, as como los niveles de vulnerabilidad de la red

Realizar un anlisis de costos en la prevencin y recuperacin de la informacin,

en caso de sufrir un ataque y perderla

Implementar respuesta a incidentes y recuperacin para disminuir el impacto

Este tipo de polticas permitir desplegar una arquitectura de seguridad basada en soluciones
tecnolgicas, as como el desarrollo de un plan de accin para el manejo de incidentes y
recuperacin para disminuir el impacto, ya que previamente habremos identificado y definido los
sistemas y datos a proteger.

Es importante tomar en consideracin, que las amenazas no disminuirn y las vulnerabilidades no

desaparecern en su totalidad, por lo que los niveles de inversin en el rea de seguridad en
cualquier empresa, debern ir acordes a la importancia de la informacin en riesgo.
La planificacin de la recuperacin de desastres integra los procedimientos para restaurar la
operatividad del sistema, aplicacin o instalacin de computadoras destino; pueden utilizarse
mtodos como: NIST 800-34 (se enfoca en la continuidad del servicio TI y describe estrategias para
el mantenimiento de la disponibilidad TI).

24

4. Proteccin de sistemas operativos

Segn un estudio realizado por Inteco, 8 de cada 10 equipos se encuentran infectados con algn
tipo de cdigo malicioso. Ante estos datos tan alarmantes, se ha elaborado una gua de seguridad
para proteger su sistema operativo, estos son:
-

Instale (y actualice) software antivirus.

Instale las actualizaciones de software:
o Los services packs, que son actualizaciones globales que contienen varios
centenares de pequeas correcciones aportadas al sistema para resolver fallos de
seguridad y tambin bugs que no representan necesariamente un riesgo.
o Parches de seguridad (Windows update).
Configure un firewall.
Evite instalar programas desconocidos o poco confiables.
Evite el correo electrnico no deseado (spam).
No abra archivos adjuntos por correo (de remitentes desconocidos) ni por chat.
Navegacin segura.
Ponga contraseas a su computadora.
Detenga los servicios intiles.
Establezca permisos.
Proteja sus servidores:
o Certificados de servidor.
o Mantenerlos en lugares seguros.
o Instalacin del directorio activo (Windows).
o Actualizaciones de seguridad al servidor de base de datos.

5. Protocolo SSL y SSL Handshake

SSL est diseado de forma que utilice TCP para proporcionar un servicio fiable y seguro extremo a
extremo. SSL no es un protocolo simple, sino que tiene dos niveles de protocolos.
El protocolo Record de SSL proporciona servicios de seguridad bsica a varios protocolos de nivel
ms alto. En particular, el HTTP, que suministra el servicio de transferencia para la interaccin
entre el cliente y servidor web, puede operar encima de SSL. Existen 3 protocolos de nivel ms alto
como parte de SSL: Handshake, Change Cipher Spec y Alert. Estos protocolos se utilizan en la
gestin de intercambios SSL.
El protocolo SSL Proporciona sus servicios de seguridad cifrando los datos intercambiados entre el
servidor y el cliente con un algoritmo de cifrado simtrico, tpicamente el RC4 o IDEA, y cifrando la
clave de sesin de RC4 o IDEA mediante un algoritmo de cifrado de clave pblica, tpicamente el

25

RSA. La clave de sesin es la que se utiliza para cifrar los datos que vienen del y van al servidor
seguro. Se genera una clave de sesin distinta para cada transaccin, lo cual permite que aunque
sea reventada por un atacante en una transaccin dada, no sirva para descifrar futuras
transacciones. MD5 se usa como algoritmo de hash.
SSL Handshake
Este protocolo permite la autentificacin mutua del servidor y cliente y negociar un algoritmo de
cifrado y de clculo de MAC (cdigo de autentificacin de mensajes) y las claves criptogrficas que
se utilizarn para proteger los datos enviados en un registro SSL. Este protocolo Handshake se
utiliza antes de que se transmita cualquier dato de aplicacin.
El protocolo Handshake consiste en una serie de mensajes intercambiados entre servidor y cliente.
Todos los mensajes tienen el formato que se muestra en la siguiente figura:

Figura 5. SSL Handshake

La figura 5 muestra el intercambio inicial necesario para establecer una conexin lgica entre el
cliente y el servidor. Este intercambio se divide en cuatro fases:
Fase 1. El establecimiento de las capacidades de seguridad, incluyendo versin del protocolo, ID de
sesin, suite de cifrado, mtodo de compresin y los nmeros aleatorios iniciales.
Fase 2. El servidor puede enviar un certificado, intercambio de clave y solicitud de certificado. El
servidor seala el final de la fase del mensaje hello.
Fase 3. El cliente enva certificado, si se le solicita, el intercambio de clave, y puede que enve la
verificacin de certificado.
Fase 4. Intercambio de suite de cifrado y finalizacin del protocolo handshake.

26

27

Unidad III. Mtodos de autenticacin

Objetivo. El alumno implementar el mtodo de autentificacin adecuado para garantizar el
acceso seguro a las aplicaciones y servicios informticos de la organizacin.

La autenticacin es la tcnica mediante la cual un proceso verifica que su compaero de

comunicacin sea quien se supone que debe ser y no un impostor. Verificar la integridad de un
proceso remoto en la presencia de un intruso activo y malicioso es sorprendentemente difcil y
requiere protocolos complejos con base en la criptografa.

1. Servicios AAA

En seguridad informtica, el acrnimo AAA corresponde a un tipo de protocolos que realizan tres
funciones: Autenticacin, Autorizacin y Contabilizacin (Authentication, Authorization and
Accounting, en ingls). La expresin protocolo AAA no se refiere pues a un protocolo en particular,
sino a una familia de protocolos que ofrecen los tres servicios citados.
Autenticacin
La Autenticacin es el proceso por el que una entidad prueba su identidad ante otra.
Normalmente la primera entidad es un cliente (usuario, computadora) y la segunda un servidor. La
Autenticacin se consigue mediante la presentacin de un nombre de usuario y la demostracin
de estar en posesin de las credenciales que permiten comprobarla. Ejemplos posibles de estas
credenciales son las contraseas, los Certificados Digitales, etc.
Autorizacin
Autorizacin se refiere a la concesin de privilegios especficos (incluyendo "ninguno") a una
entidad o usuario basndose en su identidad (autenticada), los privilegios que solicita, y el estado
actual del sistema
Contabilizacin
La Contabilizacin se refiere al seguimiento del consumo de los recursos de red por los usuarios.
Esta informacin puede usarse posteriormente para la administracin, planificacin, facturacin, u
otros propsitos.
Las siguientes preguntas son tiles para entender el funcionamiento de los servicios AAA al
preguntar:

28

quin eres?
qu servicios estoy autorizado a darte?
qu hiciste con los servicios mientras los usaste?

RADIUS (Remote Authentication Dial-In User Service)

RADIUS es un protocolo de comunicacin cliente/servidor que fue creado para tener un mtodo
de autenticacin, autorizacin y contabilidad para usuarios que necesitaban acceder a recursos de
cmputo heterogneos. Cuando se realiza una conexin con un proveedor de servicios de internet
mediante modem, DSL, cablemodem, Ethernet o Wi-Fi, se enva una informacin que
generalmente es un nombre de usuario y una contrasea. Esta informacin se transfiere a un
servidor de acceso a red (NAS) sobre el protocolo PPP, quien redirige la peticin a un servidor
RADIUS mediante el protocolo RADIUS. Este servidor comprueba que la informacin es correcta
utilizando esquemas de autentificacin PAP, CHEAP o EAP. Una de las caractersticas ms
importantes del protocolo RADIUS es su capacidad de manejar sesiones, notificando cuando
comienza y termina una conexin, as que al usuario se le podr determinar su consumo y facturar
en consecuencia; los datos se pueden utilizar con propsitos estadsticos. Fue desarrollado en
Livingston Enterprises y ahora est publicado dentro del RFC 2138 y RFC 2139. Dichas
especificaciones indican que RADIUS:
-

Es un protocolo basado en UDP y no orientado a la conexin que usa el puerto 1831.

Utiliza un mecanismo de seguridad brinco a brinco.
Es un protocolo sin estado.
Soporta autenticacin PAP y CHAP va PPP.
Utiliza el algoritmo MD5 para el cifrado de passwords.

TACACS (Terminal Access Controller Access Control System)

TACACS es un protocolo de comunicacin cliente/servidor basado en TCP, el cual permite
comunicarse de manera remota con un servidor de autentificacin. TACACS permite a un servidor
de acceso remoto (RAS) comunicarse con un servidor de autentificacin para determinar si el
usuario tiene acceso a la red. Este protocolo est documentado en RFC 1492.
Cisco ha mejorado este protocolo muchas veces, y su implementacin (XTACACS) separa la
autentificacin, autorizacin y la contabilidad.

Kerberos
Un protocolo de autenticacin ampliamente utilizando en muchos sistemas reales (como Windows
y Linux) es Kerberos. Su nombre proviene del perro de mltiples cabezas de la mitologa griega que

29

custodiaba la entrada de Hades (para tener fuera a las personas indeseables). Kerberos se dise
en el MIT para permitir que los usuarios de estaciones de trabajo accedieran a los recursos de la
red en una forma segura. Kerberos se basa exclusivamente en el cifrado simtrico, dejando de
lado el cifrado de clave pblica.
El primer enfoque que se public sobre Kerberos presentaba los siguientes requisitos:

Seguridad: un observador de la red no debera poder obtener la informacin necesaria

para hacerse pasar por un usuario. Es decir, Kerberos debera ser lo suficientemente
robusto para que un posible oponente no lo considere un punto dbil.
Fiabilidad: para todos los servicios que utilizan Kerberos para el control de acceso, la falta
de disponibilidad del servicio de Kerberos implica una falta de disponibilidad de los
servicios que se proporcionan. As, Kerberos debera ser muy fiable y emplear una
arquitectura de servidores distribuida en la que un sistema pudiera disponer de copias de
otro.
Transparencia: aparte del requisito de introducir una contrasea, es preferible que el
usuario no sea consciente de que est teniendo lugar la autentificacin.
Escalabilidad: el sistema debera poder dar cabida a un gran nmero de clientes y
servidores, lo cual sugiere una arquitectura distribuida modular.

Para lograr estos requisitos, el esquema general de Kerberos es el de un servicio de autentificacin

de una tercera parte confiable. Es confiable en el sentido de que los clientes y los servidores
confan en Kerberos para que medie en su autentificacin mutua. Suponiendo que el protocolo de
Kerberos est bien diseado, el servicio de autentificacin es seguro si el servidor Kerberos es
seguro en s mismo.

2. Algoritmos de Hash MD5 y SHA-1

Un algoritmo de hash se refiere a una funcin o mtodo para generar claves que representen de
manera casi nica a un documento, registro, archivo, etc. Adems, las funciones hash se utilizan
para ``comprimir'' un mensaje de longitud variable tomado como entrada a uno de tamao fijo
(valor hash) producido como salida, reduciendo el tiempo de generacin de firmas por algoritmos
de firmas digitales.
Cuando un usuario desea acceder al sistema, se le aplica una funcin hash a la contrasea dada
por l y el valor hash obtenido se compara con el valor almacenado en la base de datos, si son
iguales, el usuario tiene acceso. Si la contrasea almacenada en la base de datos estuviera
``comprometida'', sera difcil obtener la contrasea dada por el usuario.
Una funcin hash debe tener las caractersticas bsicas siguientes:
-

La entrada puede ser de cualquier tamao.

30

El valor hash (salida) debe tener un tamao fijo.

Estar libre de colisiones. Dadas dos cadenas de entrada a y b, no se obtenga el mismo
valor hash tal que H(a) = H(b).
Irreversible; es decir, dado un valor hash x, no sea posible encontrar una entrada y, tal
que H(y) = x.
Rapidez y facilidad de obtener un resultado (valor hash).

Algoritmo MD5
El algoritmo de hash ms utilizado en estos momentos es el MD5. Este algoritmo fue desarrollado
por Ronald Rivest en 1995 y est basado en dos algoritmos anteriores MD2 y MD4. Todos estos
protocolos producen un nmero de 128 bits a partir de un texto de cualquier longitud.
MD4 fue desarrollado para mejorar el rendimiento de MD2, sin embargo, varios problemas fueron
detectados y en 1996 fueron publicados elementos que hacen hoy en da inservible el algoritmo.
MD5 sustituy a MD4 y aunque no tiene el rendimiento de su antecesor, hasta el momento no han
sido publicados elementos que comprometan su integridad y funcionamiento.
Este algoritmo opera truncando los bits de una manera tan complicada que cada bit de salida es
afectado por cada bit de entrada. Muy brevemente, comienza a rellenar el mensaje a una longitud
de 448 bits (mdulo 512). Despus, la longitud original del mensaje se agrega como entero de 64
bits para dar una entrada total cuya longitud es un mltiplo de 512 bits. El ltimo paso del clculo
previo es la inicializacin de un bfer de 128 bits a un valor fijo.
Ahora comienza el clculo. Cada ronda toma un bloque de 512 bits de entrada y lo mezcla por
completo por el bfer de 128 bits. Por si fuera poco, se introduce tambin una tabla construida a
partir de la funcin seno. El objetivo de usar una funcin conocida como el seno no es porque sea
ms aleatoria que un generador de nmeros aleatorios, sino para evitar cualquier sospecha de que
el diseador construy una puerta ingeniosa por la que slo l puede entrar. La negativa de IBM
de hacer pblicos los principios en que se bas el diseo de las cajas S del DES dio pie a una gran
cantidad de especulacin sobre las puertas traseras. Se hacen cuatro rondas por cada bloque de
entrada. Este proceso continua hasta que todos los bloques de entrada se han consumido. El
contenido del bfer de 128 bits forma el resumen del mensaje.
Dicho de otras palabras, MD5 comienza rellenando el mensaje a una longitud congruente en
mdulo 448 mod 512. Es decir la longitud del mensaje es 64 bits menos que un entero mltiplo de
512. El relleno consiste en un bit en 1 seguido por cuantos bits en 0 sean necesarios. La longitud
original del mensaje es almacenada en los ltimos 64 bits del relleno.

31

Figura 6. Algoritmo MD5

Adicionalmente se inicializa, con un valor fijo, un buffer de 128 bits. Este buffer puede verse
como 4 registros de 32 bits (A, B, C, D) y son inicializados con los siguientes valores hexadecimales:
A=67452301; B=EFCDAB89; C=98BADCFE; D=10325476
Durante varias rondas de procesamiento el algoritmo toma bloques de 512 bits de la entrada y los
mezcla con los 128 bits del buffer. Este proceso es repetido hasta que todos los bloques de
entrada han sido consumidos. El valor resultante en el buffer es el hash del mensaje.
Algoritmo SHA-1
Este algoritmo fue desarrollado por el NIST y publicado en 1973 como un estndar federal de
procesamiento de informacin; una versin revisada, a la que normalmente se conoce como SHA1 se public como FIPS PUB 180-1 en 1995.
64

El algoritmo toma como entrada un mensaje con una longitud mxima menor que 2 y produce
como salida un resumen de mensaje de 160 bits. La entrada se procesa en bloques de 512 bits. El
procesamiento consiste en los siguientes pasos:
Paso 1. Aadir bits de relleno. El mensaje se rellena para que su longitud sea congruente con 448
mdulo 512 (longitud = 448 mod 512). Es decir, la longitud del mensaje de relleno es 64 bits
menor que un mltiplo de 512 bits. El relleno se aade aunque el mensaje ya tenga la longitud
deseada. As, el nmero de bits de relleno se encuentra entre 1 y 512. El relleno est formado por
un nico bit 1 seguido del nmero necesario de bits 0.
Paso 2. Aadir longitud. Se aade un bloque de 64 bits al mensaje. Este bloque se trata como un
entero sin signo de 64 bits y contiene la longitud del mensaje original. La inclusin de un valor de
longitud dificulta un tipo de ataque conocido como ataque de relleno. El resultado de los dos
primeros pasos da lugar a un mensaje que es un entero mltiplo de 512 bits de longitud.
Paso 3. Iniciar el bfer MD. Un bfer de 160 bits se usa para tener resultados intermedios y finales
de la funcin hash. El bfer puede representarse como cinco registros de 32 bits (A, B, C, D, E).

32

Paso 4. Procesar el mensaje en bloques de 512 bits (16 palabras). El corazn del algoritmo es un
mdulo, conocido como funcin de compresin, que consiste en cuatro etapas de procesamiento
de 20 pasos cada una.
Las cuatro etapas tienen una estructura similar, pero cada una usa una funcin lgica primitiva
diferente. Cada etapa toma como entrada el bloque de 512 bits que se est procesando y el valor
ABCDE del bfer de 160 bits y actualiza los contenidos del bfer. Cada etapa tambin hace uso de
una constante adicional K, que indica uno de los 80 pasos a lo largo de cinco etapas.
La salida de la cuarta etapa (octogsimo paso) se aade a la entrada de la primera etapa. La suma
se hace independientemente para cada una las cinco palabras en el bfer con cada una de las
32
palabras correspondientes en la entrada del bloque usando suma mdulo 2 .
Paso 5. Salida. Despus de que todos los bloques de 512 bits han sido procesados, la salida del Lsimo estado es el resumen del mensaje de 160 bits.

3. Certificados digitales
Un certificado digital que es archivo digital intransferible y no modificable, emitido por una tercera
parte de confianza (CA, Certified Authority), que asocia a una persona o entidad una clave pblica.
Un certificado digital que siga el estndar X509v3, utilizado por los navegadores, contiene la
siguiente informacin:
-

Identificacin del titular del certificado: Nombre, direccin, etc.

Clave pblica del titular del certificado.
Fecha de validez.
Nmero de serie.
Identificacin del emisor del certificado.

Un ejemplo sera:
==========================================================================
issuer: C=ES ST=L=Barcelona O=SECURITY ZUTANEZ OU=Division de certificados CN=Fulano
Menganez Email=Fulano@fulanez.es subject: C=ES ST=O=OU=CN=Jaimito Email=Jaimito@jaimito
serial: 15
Certificate: Data: Version: 1 (0x0) Serial Number: 21 (0x15) Signature Algorithm:
md5WithRSAEncryption Issuer: C=ES ST=L=Barcelona O=SECURITY ZUTANEZ OU=Division de
certificados CN=Fulano Menganez Email=Fulano@fulanez.es Validity Not Before: Nov 18 15:15:31 1998

33

GMT Not After : Nov 13 15:15:31 1999 GMT Subject: C=ES, ST=, O=, OU=, CN=Jaimito
Email=Jaimito@jaimito Subject Public Key Info: Public Key Algorithm: rsaEncryption RSA Public Key:
(1024 bit) Modulus (1024 bit):
00:9e:74:de:c9:1a:6b:f4:fe:d1:04:30:58:7e:8b:
51:7a:98:23:e9:45:a9:c2:a7:7c:f8:f8:b5:9a:a2:
ea:c1:99:68:ba:f7:c3:d8:06:05:1b:6a:47:a1:44:
5c:2c:a6:e0:4b:6f:ce:02:c4:06:32:20:34:be:13:
97:39:a3:aa:6f:2f:41:a7:bc:14:c8:f3:0c:ad:9d:
09:63:8a:f5:eb:60:5b:06:a6:01:fb:1a:07:b2:c6:
39:48:bb:b7:00:56:4e:20:6d:87:3f:67:0b:2f:f4:
b0:5f:74:7f:90:6b:b4:47:6f:56:1a:b5:c5:42:54:
9b:e5:e3:00:e2:4f:e3:14:47
Exponent: 65537 (0x10001) Signature Algorithm: md5WithRSAEncryption
3b:2b:e9:ff:48:48:35:ab:30:5c:e2:d1:88:c9:29:8b:bc:09:
b2:58:80:17:9c:e7:08:0a:7d:8a:5e:46:a8:83:3b:ee:84:de:
62:e3:ea:51:cb:92:bc:fa:db:90:bd:cd:9f:25:d4:4a:48:63:
ac:b8:93:f9:dc:9c:cf:ef:fd:45
- -----BEGIN CERTIFICATE----MIICOzCCAeUCARUwDQYJKoZIhvcNAQEEBQAwgaYxCzAJBgNVBAYTAkVTMRIwEAYDVQQIEwlDYXRhb
HVueWExDDAKBgNVBAcTA0JjbjEVMBMGA1UEChMMU0VDVVJJVFkgQkNOMRowGAYDVQQLExFzZWN
jaW8gZCdlbXByZXNlczEdMBsGA1UEAxMURGF2aWQgR3VlcnJlcm8gVmlkYWwxIzAhBgkqhkiG9w0BCQ
EWFGd1ZXJyZXJvQGdyZWMudXBjLmVzMB4XDTk4MTExODE1MTUzMVoXDTk5MTExMzE1MTUzMVo
wZjELMAkGA1UEBhMCRVMxCTAHBgNVBAgTADEJMAcGA1UEChMAMQkwBwYDVQQLEwAxGDAWBg
NVBAMUD0NhbHZpbiAmIEhvYmJlczEcMBoGCSqGSIb3DQEJARYNY2FsdmluQGhvYmJlczCBnzANBgkqh
kiG9w0BAQEFAAOBjQAwgYkCgYEAnnTeyRpr9P7RBDBYfotRepgj6UWpwqd8+Pi1mqLqwZlouvfD2AYF
G2pHoURcLKbgS2/OAsQGMiA0vhOXOaOqby9Bp7wUyPMMrZ0JY4r162BbBqYB+xoHssY5SLu3AFZOIG
2HP2cLL/SwX3R/kGu0R29WGrXFQlSb5eMA4k/jFEcCAwEAATANBgkqhkiG9w0BAQQFAANBADsr6f9I
SDWrMFzi0YjJKYu8CbJYgBec5wgKfYpeRqiDO+6E3mLj6lHLkrz625C9zZ8l1EpIY6y4k/ncnM/v/UU=
- -----END CERTIFICATE-----

==========================================================================
Este es un certificado, vlido durante un ao, emitido por la autoridad certificadora SECURITY
ZUTANEZ para el usuario Jaimito cuya clave pblica RSA es:
==========================================================================
exponente: 65537
modulo:
1112719555297182749770200010532872549711535743256394864652426542649114539614030
8823101054430403215854018849918550447888175506164589320588918434044048417717331
3682979482908132499473623983651771075446109365198267065678811090107152632592388
889101510157610404623906744451048525264576885364836810773621503974118471

==========================================================================

34

Todos los datos estn firmados por la CA usando la funcin hash MD5 y su clave privada RSA.
Una firma digital es el equivalente de la firma convencional, en el sentido de que es un aadido al
final del mensaje conforme se est de acuerdo con lo que all se dice. Formalmente, una firma
digital es una transformacin de un mensaje de forma que cualquier persona con conocimiento
del mensaje y de la clave pblica del firmante pueda comprobar que dicha transformacin ha sido
realizada realmente por el firmante.
Para verificar que el certificado es correcto deberamos hacernos con el certificado digital emitido
para dicha CA por una segunda CA. Para verificar la veracidad de este segundo certificado
deberamos obtener el certificado digital emitido para segunda CA por una tercera CA. Como este
proceso podra eternizarse, existen las llamadas autoridades raz que firman sus propios
certificados, un ejemplo de autoridad raz es Verisign.
Aparte de los datos del emisor y del propietario del certificado ste puede contener informacin
referente a las limitaciones que se hayan establecido para su uso: e-mail, www, etc.
Como puede observarse en el certificado del ejemplo, no existe ninguna referencia a algoritmos
de clave secreta. Cuando navegamos con Netscape y recibimos un certificado de un servidor web
'seguro' aparece la ventana:
==========================================================================
New Site Certificate
Here is the Certificate that is being presented:

Certificate for: UPC Signed by: UPC Encryption: Highest Grade (RC4 with 128-bit secret key)

The signer of the Certificate promises you that the holder of this Certificate is who they say they are.
The encryption level is an indication of how difficult it would be for someone to eavesdrop on any
information exchanged between you and this web site.

==========================================================================
La informacin ''Encryption: Highest Grade (RC4 with 128-bit secret key)'' no tiene nada que ver
con el certificado presentado por el servidor, slo depende del navegador utilizado y del servidor,
a distinto navegador distinto grado de cifrado.
Aunque desde un punto de vista tcnico cualquiera puede erigirse en CA (slo es necesario
disponer de un par de claves pblica-privada para firmar y verificar la firma, y todo aquel que
desee obtener un certificado las tiene), una CA, adems de emitir certificados, debera ofrecer los
servicios siguientes:

35

Bsqueda de certificados: Una persona puede querer buscar el certificado referente a otra
persona o entidad.
Revocacin: Si un certificado se pierde, el titular debe poder informar a la CA para que lo
anule y emita otro. Tambin si la clave privada ha quedado comprometida debe ser
posible su revocacin.
Suspensin: La CA debe suspender la validez de un certificado si se hace un uso anormal
de l.
Estado del certificado: Las personas a las que se les presenta un certificado deben de
poder comprobar que no ha sido revocado o suspendido.

Actualmente an se est desarrollando el marco legal que regule el reconocimiento de la validez

legal de las firmas digitales y cules han de ser los requerimientos mnimos que han de reunir las
autoridades certificadoras para ser reconocidas como tales.

36

Unidad IV. Firewalls

Objetivo. El alumno implementar mecanismos de seguridad firewall, aplicando reglas de filtrado
y directivas de control de acceso a redes para garantizar la seguridad de la informacin de la
organizacin.

La capacidad de conectar a una computadora, en cualquier lugar, con cualquier computadora,

desde cualquier lugar, es una ventaja a medias. Para los usuarios domsticos, navegar en internet
significa mucha diversin. Para los gerentes de seguridad empresarial, es una pesadilla. Muchas
empresas tienen en lnea grandes cantidad de informacin confidencial secretos de comercio,
planes de desarrollo de productos, estrategias de mercadotecnia, anlisis financieros, etc. Si esta
informacin cae en manos de un competidor podra tener graves consecuencias.
Adems del peligro de la fuga de informacin, tambin existe el peligro de la infiltracin de la
informacin. En particular, virus, gusanos y otras pestes digitales pueden abrir brechas de
seguridad, destruir valiosos datos y hacer que los administradores pierdan mucho tiempo tratando
de arreglar el dao que hayan hecho. Por lo general, son trados por empleados descuidados que
desean ejecutar algn nuevo juego ingenioso, o
visitar algn sitio web poco confiable. En
consecuencia se necesitan mecanismos
para
mantener adentro los bits buenos de los bits
malos.
Los firewalls (servidores de seguridad) son
simplemente una adaptacin moderna de la
vieja estrategia medieval de seguridad: excavar
un foso defensivo profundo alrededor de su
castillo. Este diseo obligaba a que todos los
que entraran o salieran del castillo pasaran a
travs de un puente levadizo, en donde los
encargados de la E/S los podan inspeccionar. En
las redes, es posible el mismo truco: una
compaa puede tener muchas LANs conectadas
de formas arbitrarias, pero se obliga a que todo
el trfico desde o hacia la compaa pase a
travs de un puente levadizo electrnico
(firewall).

Figura 7. Ejemplo de un firewall

Un firewall es simplemente un sistema diseado para prevenir acceso no autorizado de o hacia

una red privada. Los firewalls pueden ser implementados mediante hardware o software, o una
combinacin de ellos.

37

1. Medidas de seguridad preventivas y correctivas aplicables a un firewall

Generalmente, los firewalls son configurados para proteger contra accesos desde el mundo
exterior. Esto ayuda a prevenir a los accesos no autorizados a mquinas de tu red. Firewalls ms
sofisticados bloquean trfico del exterior al interior, pero se permite a los usuarios del interior
comunicarse con el exterior de una forma ms flexible.
Existen tres decisiones bsicas en el diseo o la configuracin de un firewall; la primera de ellas, la
ms importante, hace referencia a la poltica de seguridad de la organizacin propietaria del
firewall: evidentemente, la configuracin y el nivel de seguridad potencial ser distinto en una
empresa que utilice un firewall para bloquear todo el trfico externo hacia el dominio de su
propiedad (excepto, quizs, las consultas a su pgina web) frente a otra donde slo se intente
evitar que los usuarios internos pierdan el tiempo en la red, bloqueando por ejemplo todos los
servicios de salida al exterior excepto el correo electrnico. Sobre esta decisin influyen, aparte de
motivos de seguridad, motivos administrativos de cada organismo.
La segunda decisin de diseo a tener en cuenta es el nivel de monitorizacin, redundancia y
control deseado en la organizacin; una vez definida la poltica a seguir, hay que definir cmo
implementarla en el firewall indicando bsicamente qu se va a permitir y qu se va a denegar.
Para esto existen dos aproximaciones generales: o bien se adopta una postura restrictiva
(denegamos todo lo que explcitamente no se permita) o bien una permisiva (permitimos todo
excepto lo explcitamente negado); evidentemente es la primera la ms recomendable de cara a la
seguridad, pero no siempre es aplicable debido a factores no tcnicos sino humanos (esto es, los
usuarios y sus protestas por no poder ejecutar tal o cual aplicacin a travs del firewall).
Por ltimo, la tercera decisin a la hora de instalar un firewall es meramente econmica: en
funcin del valor estimado de lo que deseemos proteger, debemos gastar ms o menos dinero, o
no gastar nada. Un firewall puede no entraar gastos extras para la organizacin, o suponer un
desembolso de varios de miles de pesos: seguramente un departamento o laboratorio con pocos
equipos en su interior puede utilizar un PC con Linux, Solaris o FreeBSD a modo de firewall, sin
gastarse nada en l (excepto unas horas de trabajo y unas tazas de caf), pero esta aproximacin
evidentemente no funciona cuando el sistema a proteger es una red de tamao considerable; en
este caso se pueden utilizar sistemas propietarios, que suelen ser caros, o aprovechar los routers
de salida de la red, algo ms barato pero que requiere ms tiempo de configuracin que los
cortafuegos sobre Unix en PC de los que hemos hablado antes. De cualquier forma, no es
recomendable a la hora de evaluar el dinero a invertir en el firewall fijarse slo en el costo de su
instalacin y puesta a punto, sino tambin en el de su mantenimiento.

38

Puertos
Muchas veces queremos acceder a un servidor para obtener uno de sus servicios y solamente uno
de ellos y no los dems. Para ello, todos los servicios se organizan o mapean en toda computadora
de una forma y en esta forma de organizar los servicios entran en juego los puertos.
Pensemos en una mquina expendedora de... por ejemplo, combinados con cierta graduacin
alcohlica (o no alcohlica para los abstemios) imaginemos que dicha mquina cuando pulsamos
el 25 nos sirve un... Jack Daniel's con Cola y en el 110 nos sirve un Vodka con lima. Suponemos que
yo quiero el servicio que me da el nmero (puerto) 25 y no el del 110, entonces lo que hacemos es
meter el dinero en la mquina (nos conectamos a ella) y le decimos que queremos lo que hay en el
estante con el nmero 25 (nos conectamos al puerto 25). Pues esto mismo pasa con los servicios
de un servidor.
Cuando hacemos un request a google.com para buscar algo, estamos pidindole a la direccin IP
de google (sea cual sea) en el puerto 80 (el estndar del WWW) que nos busque fotos del volcn
Popocatpetl (por citar un ejemplo). Es decir es como si en la expendedora pulsamos el 80 para
obtener un licor de mora. Lo que pasa es que nuestro navegador nos hace transparente esa
peticin al puerto, porque por defecto l sabe que todo lo que escribamos en la barra de
direcciones se refiere a servicios web que se hospedan en los puertos 80 de gran parte de los
servidores del mundo y es por ello que si yo tecleo http:/ /www.google.com me lleva a la pgina
de google y si tecleo http://www.google.com:80 tambin, lo que pasa es que sera una
redundancia.
Nmeros de puertos
Los nmeros de puertos son divididos en 3 rangos:
-

Puertos bien conocidos (0 al 1023)

Puertos registrados (1024 al 49151)
Puertos dinmicos o privados (49152 al 65535)

Puerto
FTP
SSH
Telnet
SMTP
DNS
HTTP
POP
Samba
IMAP
HTTPS

Nmero
20, 21
22
23
25
53
80
110
139
143
443

Descripcin
Transferencia de archivos
Conexin remota
Conexin remota
Transferencia de correo
Servidor de nombres de dominio
Web
Protocolo de oficina de correo
Protocolo de archivos compartidos
Protocolo de acceso de mensajes de internet
Web seguro

Tabla 2. Ejemplo de nmero de puertos.

Dependiendo de las necesidades de cada red, puede ponerse uno o ms firewalls para establecer
distintos permetros de seguridad en torno a un sistema. Es frecuente tambin que se necesite
exponer algn servidor a internet (como es el caso de un servidor web, un servidor de correo,
39

etc.), y en esos casos obviamente en principio se debe aceptar cualquier conexin a ellos. Lo que
se recomienda en esa situacin es situar ese servidor en lugar aparte de la red, el que
denominamos DMZ o zona desmilitarizada. El firewall tiene entonces tres entradas:

Figura 8. Esquema de firewall con DMZ

En la zona desmilitarizada se pueden poner tantos servidores como se necesiten. Con esta
arquitectura, permitimos que el servidor sea accesible desde internet de tal forma que si es
atacado y se gana acceso a l, la red local sigue protegida por el firewall. Esta estructura de DMZ
puede hacerse tambin con un doble firewall (aunque como se ve se puede usar un nico
dispositivo con al menos tres interfaces de red). Sera un esquema como este:

Figura 9. Esquema de red con doble firewall

2. Tcnicas de implementacin de Firewall

Conceptualmente hay dos tipos de firewalls, nivel de red y nivel de aplicacin.
Los firewalls de nivel de red toman sus acciones en funcin del origen, la direccin de destino y el
puerto en cada paquete IP. Los modernos firewalls de este tipo se han sofisticado y mantienen
informacin respecto del estado de las conexiones que estn activas a travs de l. Este tipo de
firewalls tienden a ser muy rpidos y son transparentes al usuario.

40

Los firewalls de nivel de aplicacin por lo general son hosts corriendo proxy servers, que no
permiten el trfico directo entre redes, manteniendo una elaborada auditoria y logeo del trfico
que pasa a travs de l. Este tipo de firewall puede ser utilizado para realizar las tareas relativas al
NAT, debido a que como las comunicaciones van de un lado hacia el otro se puede enmascarar la
ubicacin original. Este tipo tiende a proveer una auditora ms detallada y un mayor grado de
seguridad que los de nivel de red.
Los routers de filtro de paquetes, que corresponden al primer grupo, realizan una decisin del tipo
pasa no pasa para cada paquete que recibe. El router examina cada paquete para determinar si se
aplican sus reglas de filtrado. Las reglas de filtrado se basan en la informacin contenida en el
encabezado del paquete. Esta informacin consiste en la IP de origen, la IP de destino, el protocolo
encapsulado (TCP, UDP, ICMP), el puerto TCP/UDP de origen y de destino, etc. Toda esta
informacin es controlada contra las reglas de filtrado definidas, pudiendo ser enrutada si existe
una regla que lo permite, descartada si una regla as lo indica y si no existe regla comparable un
parmetro previamente configurado determinar si el paquete pasa o no.
Dentro de este tipo estn los que filtran en funcin del servicio involucrado. Esto es posible pues
hay muchos servicios para los cuales estn normalizados los puertos en los que escuchan, por lo
cual se pueden definir reglas que involucren el puerto, definiendo la aceptacin o el rechazo.
Por otro lado frente a diferentes ataques que se fueron produciendo surgieron otros firewalls
cuyas reglas son independientes del servicio; estas reglas exigen un anlisis ms detallado que
involucra el ruteo, las opciones de IP, verificacin de los fragmentos de desplazamiento y puntos
por el estilo.La mayora de los firewalls implementados sobre Internet estn desarrollados sobre el
concepto de filtrado de paquetes. Este tipo de firewalls no son difciles de configurar debido a que
su software contiene una serie de reglas previamente configuradas y fundamentalmente son
transparentes al usuario y no exigen instalar ningn software adicional en los hosts.
Por otro lado cuando se debe personalizar de manera tal de adaptarlo a aplicaciones especficas
de cada empresa la tarea se puede hacer algo compleja pues exige una figura de administrador
que debe conocer los servicios de Internet, los distintos encabezados de los paquetes, los distintos
valores que se espera encontrar en los campos a analizar. Si se requiere un filtrado complejo, las
reglas pueden volverse demasiado largas con la consecuencia de una difcil administracin y
seguimiento.
Como se mencion, los filtros a nivel de aplicacin permiten aplicar un esquema de seguridad ms
estricto. En estos firewalls se instala un software especfico para cada aplicacin a controlar (un
proxy server); de hecho si no se instala los servicios relativos a la aplicacin las comunicaciones no
podrn ser enrutadas, punto que no se convierte en trivial pues de esta forma estamos
garantizando que todas aquellas nuevas aplicaciones desconocidas no podrn acceder a nuestra
red. Otra ventaja que trae el uso de este tipo de firewall es que permite el filtrado del protocolo,
por ejemplo se podra configurar el proxy server que atiende el FTP para que pueda aceptar
conexiones pero denegar el uso del comando put asegurando de esta forma que no nos puedan
escribir ningn archivo o que impida navegar por el FS; esto es lo que hoy se conoce como un FTP
annimo. Este tipo de configuracin incrementa los costos de la plataforma sobre la cual
funcionar el filtro.

41

Aplicacin de la
Seguridad Informtica
Antologa

Tercer

semestre