Definicin de Autenticacin

La palabra autenticacin es utilizada para referirse a la confirmacin que se realiza a travs

de los medios electrnicos de la identidad de un individuo o de un organismo, as como de
todas sus operaciones, transacciones y documentos adems de las autoras de los mismos.

Toda persona que necesite acceder a una computadora requiere de un proceso de

identificacin y autenticacin, para probar que la persona es realmente quien dice ser. Para
poder ingresar a cualquier servicio de la red es necesario pasar por tres procesos:
Autenticacin, que se refiere al procedimiento a travs del cual la persona coloca sus datos
de identificacin sin equivocarse. Autorizacin, es el procedimiento a travs del cual el
sistema aprueba el acceso de la persona previamente identificada a ciertos recursos de la
misma. Registro, es el procedimiento por el cual el sistema registra cada uno de los
accesos que realizo la persona, con autorizacin o sin ella.

Para poder realizar un procedimiento de autenticacin es necesario poner en prctica

algunos de estos mtodos: Autenticacin por conocimiento, este se fundamenta en la
informacin que nicamente conoce la persona. Autenticacin por pertenencia, se
fundamenta en alguna particularidad del usuario. Autenticacin por caractersticas, esta se
fundamenta en algn rasgo fsico caracterstico de la persona. Como se puede observar, la
autenticacin implica rasgos fsicos y explicables relacionados con la entrada, el uso o
modificacin del sistema.

Cuando el sistema solicita una autenticacin fsica, se refiere a algn objeto o rasgo fsico
de la persona, en este caso se emplea algn dispositivo biomtrico, por ejemplo el capta
huellas, ahora bien, si el sistema solicita una autenticacin lgica, hace referencia a
aquella informacin o dato que solamente conoce la persona, por ejemplo una clave.

Protocolos de autenticacin
Cuando los usuarios intentan conectarse a la red a travs de servidores de acceso de red,
NPS autentica y autoriza la solicitud de conexin antes de permitir o denegar el acceso.

Porque la autenticacin es el proceso de comprobar la identidad del usuario o equipo que

intenta conectarse a la red, NPS debe recibir la prueba de la identidad del usuario o del
equipo en forma de credenciales.

Protocolos de autenticacin permiten la transmisin de estas credenciales desde el equipo o

usuario que est demostrando su identidad al autenticador es comprobar su identidad.
Mtodos de autenticacin utilizan normalmente un protocolo de autenticacin que se
negocia por el servidor de servicio de usuario de acceso telefnico de autenticacin remota
(RADIUS) y el cliente de acceso durante el proceso de establecimiento de conexin.
Cada protocolo de autenticacin tiene ventajas y desventajas en trminos de seguridad,
facilidad de uso y grado de compatibilidad. El protocolo de autenticacin utilizado para
transmitir las credenciales se determina mediante la configuracin de los siguientes
componentes de infraestructura RADIUS: el cliente de acceso, el cliente RADIUS y el
servidor RADIUS.

Puede configurar NPS para aceptar el uso de mltiples protocolos de autenticacin. Tambin
puede configurar los clientes RADIUS para intentar negociar una conexin con el protocolo ms
seguro en primer lugar y, a continuacin, el siguiente ms segura y as sucesivamente hasta el
menos seguro. Por ejemplo, el servicio de enrutamiento y acceso remoto intenta negociar una
conexin por utilizando el protocolo de autenticacin Extensible (EAP, Extensible Authentication
Protocol) primero y, a continuacin, MS-CHAP v2, a continuacin, MS-CHAP v1, a continuacin,
CHAP y PAP. Cuando se elige EAP como mtodo de autenticacin, la negociacin del tipo de EAP se
produce entre el cliente de acceso y el servidor NPS.

Adems, puede utilizar directivas de red para implementar diferentes mtodos de

autenticacin en funcin del tipo de cliente de acceso que se est autenticando. Por
ejemplo, puede crear directivas de red de dos, uno para los clientes VPN y otro para los
clientes inalmbricos, cada uno de ellos utiliza un mtodo de autenticacin diferentes. La
directiva de red para los clientes VPN puede configurarse para utilizar EAP-TLS con
tarjetas inteligentes o certificados como el tipo de autenticacin y el mtodo de
autenticacin, mientras que la directiva de red para clientes inalmbricos puede
configurarse para utilizar PEAP-MS-CHAP v2, que proporciona autenticacin de
contrasea segura.

Mtodos de autenticacin

Algunos mtodos de autenticacin implementan el uso de credenciales basadas en

contraseas. Por ejemplo, el protocolo de autenticacin por desafo mutuo de Microsoft
(MS-CHAP) requiere que los usuarios escriban en un nombre de usuario y contrasea.
Estas credenciales, a continuacin, se pasan al servidor NPS y el servidor de acceso de red
y, a continuacin, NPS comprueba las credenciales de la base de datos de cuentas de
usuario.

Otros mtodos de autenticacin de implementan el uso de credenciales basada en

certificados para el usuario, el equipo cliente, el servidor NPS o alguna combinacin de
estos tipos de certificados. Mtodos de autenticacin basada en certificados proporcionan
una mayor seguridad que los mtodos de autenticacin basada en contrasea.

Al implementar NPS, puede especificar el mtodo de autenticacin que se requiere para

tener acceso a la red.

Las secciones siguientes proporcionan informacin adicional sobre los mtodos de

autenticacin y protocolos disponibles para utilizan con NPS.
UNIDAD 3. AUTENTICACIN
INTRODUCCIN

La autenticacin es un aspecto fundamental de la seguridad de un sistema. Confirmar la identidad

de cualquier usuario que intenta iniciar la sesin en un dominio o tener acceso a los recursos de la
red.

En la familia de servidores Windows Server 2003, la autenticacin permite el inicio de sesin nico
en todos los recursos de red. Con un inicio de sesin nico, un usuario puede iniciar la sesin en el
dominio una vez, mediante una contrasea nica o una tarjeta inteligente, y autenticarse en
cualquier equipo del dominio.

A lo largo de la historia el ser humano ha desarrollado unos sistemas de seguridad que le permiten
comprobar en una comunicacin la identidad del interlocutor, a asegurarse de que slo obtendr
la informacin el destinatario seleccionado , que adems sta no podr ser modificada e incluso
que ninguna de las dos partes podr negar el hecho ni cundo se produjo (ej. fechado de
documentos).

En la mayor parte de los casos el sistema de seguridad se basa en la identificacin fsica de la

persona, informacin que se contrasta con el documento de identidad. Actualmente cada vez
mayor nmero de actividades se est trasladando al mundo electrnico a travs de Internet.

REALIZADO POR:RODOLFO CAMPA CASTILLO

3.1PROTOCOLOS DE AUTENTICACION.

Un protocolo de autenticacin, es un tipo criptogrfico que tiene el propsito de autentificar

entidades que desean comunicarse de forma segura. Los protocolos de autenticacin se negocian
inmediatamente despus de determinar la calidad del vnculo y antes de negociar el nivel de red.
Algunos protocolos de autenticacin son:

PAP (Protocolo de autenticacin de contrasea):

Es un protocolo de autenticacin simple en el que el nombre de usuario y la contrasea se envan

al servidor de acceso remoto como texto simple (sin cifrar). No se recomienda utilizar PAP, ya que
las contraseas pueden leerse fcilmente en los paquetes del Protocolo punto a punto
intercambiados durante el proceso de autenticacin. PAP suele utilizarse nicamente al conectar a
servidores de acceso remoto antiguos basados en UNIX que no admiten mtodos de autenticacin
ms seguros.

CHAP (Protocolo de autenticacin por desafo mutuo):

Es un mtodo de autenticacin muy utilizado en el que se enva una representacin de la

contrasea del usuario, no la propia contrasea. Con CHAP, el servidor de acceso remoto enva un
desafo al cliente de acceso remoto. El cliente de acceso remoto utiliza un algoritmo hash (tambin
denominado funcin hash) para calcular un resultado hash de MessageDigest-5 (MD5) basado en
el desafo y un resultado hash calculado con la contrasea del usuario. El cliente de acceso remoto
enva el resultado hashMD5 al servidor de acceso remoto.

El servidor de acceso remoto, que tambin tiene acceso al resultado hash de la contrasea del
usuario, realiza el mismo clculo con el algoritmo hash y compara el resultado con el que envi el
cliente. Si los resultados coinciden, las credenciales del cliente de acceso remoto se consideran
autnticas. El algoritmo hash proporciona cifrado unidireccional, lo que significa que es sencillo
calcular el resultado hash para un bloque de datos, pero resulta matemticamente imposible
determinar el bloque de datos original a partir del resultado hash.

SPAP (Protocolo de autenticacin de contrasea de shiva):

Es un protocolo de autenticacin simple de contrasea cifrada compatible conservadores de

acceso remoto de Shiva. Con SPAP, el cliente de acceso remoto enva una contrasea cifrada al
servidor de acceso remoto. SPAP utiliza un algoritmo de cifrado bidireccional. El servidor de acceso
remoto
descifra la contrasea y utiliza el formato sin cifrar para autenticar al cliente de acceso remoto.

MS-CHAP y MS-CHAP v2

Protocolo de autenticacin por desafo mutuo de Microsoft:

Microsoft cre MS-CHAP para autenticar estaciones de trabajo Windows remotas, integrando la
funcionalidad a la que los usuarios de redes LAN estn habituados con los algoritmos de has
utilizados en las redes Windows. Utiliza un mecanismo de desafo y respuesta para autenticar
conexiones sin enviar contraseas.

El autenticador (el servidor de acceso remoto o el servidor IAS) enva al cliente de acceso remoto
un desafo formado por un identificador de sesin y una cadena de desafo arbitraria.

El cliente de acceso remoto enva una respuesta que contiene el nombre de usuario y un cifrado
no reversible de la cadena de desafo, el identificador de sesin y la contrasea.

El autenticador comprueba la respuesta y, si es vlida, se autentican las credenciales del usuario.La

familia Windows Server 2003 admite MS-CHAP v2, que proporcionaautenticacin mutua, la
generacin de claves de cifrado de datos iniciales ms seguras para Cifrado punto a punto de
Microsoft (MPPE) y distintas claves de cifrado para los datos enviados y los datos recibidos. Para
reducir al mnimo el riesgo de que una contrasea se vea comprometida durante su cambio, no se
admiten mtodos ms antiguos que el cambio de contrasea de MS-CHAP.

EAP (Protocolo de autenticacin extensible):

Es una extensin del Protocolo punto a punto (PPP) que admite mtodos de autenticacin
arbitrarios que utilizan intercambios de credenciales e informacin de longitudes arbitrarias. EAP
se ha desarrollado como respuesta a la creciente demanda de mtodos de autenticacin que
utilizan dispositivos de seguridad, como las tarjetas inteligentes, tarjetas de identificacin y
calculadoras de cifrado. Mediante EAP, se pueden admitir esquemas de autenticacin adicionales,
conocidos como tipos EAP. Entre estos esquemas se incluyen las tarjetas de identificacin,
contraseas de un solo uso, autenticacin por clave pblica mediante tarjetas inteligentes y
certificados.EAP, junto con los tipos de EAP seguros, es un componente tecnolgico crtico para las
conexiones de red privada virtual (VPN) seguras.

La familia Windows Server 2003 admite dos tipos de EAP: y EAP-MD5 CHAP (equivalente al
protocolo de autenticacin CHAP) y EAP-TLS (utilizado para autenticacin basada en certificados
de usuario).EAP-TLS es un mtodo de autenticacin mutua, lo que significa que tanto el cliente
como el servidor deben demostrar sus identidades uno a otro. Durante el proceso de
autenticacin, el cliente de acceso remoto enva su certificado de usuario y el servidor de acceso
remoto enva su certificado de equipo. Si el certificado no se enva o no es vlido, se termina la
conexin.

Kerberos:

Es un protocolo de autenticacin de redes de ordenador que permite a dos computadores en una

red insegura demostrar su identidad mutuamente de manera segura. Sus diseadores se
concentraron primeramente en un modelo de cliente-servidor, y brinda autenticacin mutua:
tanto cliente como servidor verifican la identidad uno del otro. Los mensajes de autenticacin
estn protegidos para evitar eavesdropping y ataques de Replay .Kerberos se basa en criptografa
de clave simtrica y requiere un tercero de confianza. Adems, existen extensiones del protocolo
para poder utilizar criptografa de clave asimtrica.

REALIZADO POR:RODOLFO CAMPA CASTILLO

3.1.1.CLAVES SECRETAS COMPARTIDAS

Este protocolo se basa en un principio encontrado en muchos protocolos de autenticacin. Una
parte enva un nuero aleatorio a la otra, quien a continuacin lo transforma en una forma especial
y despus regresa al resultado. Tales protocolos se conocen como de desafio-respuesta. Es posible
especificar una clave secreta compartida previamente. Su uso es sencillo y no requiere que el
cliente ejecute el protocolo Kerberos V5 ni que tenga un certificado de claves pblicas. Ambas
partes deben configurar IPSec manualmente para utilizar esta clave compartida previamente.

Importante:

El uso de autenticacin por claves compartidas previamente no se recomienda porque es un

mtodo de autenticacin relativamente dbil. La autenticacin por claves compartidas
previamente crea una clave maestra que es menos segura (y que podra ofrecer una forma de
cifrado ms dbil) que los certificados o el protocolo Kerberos V5. Asimismo, las claves
compartidas previamente se almacenan en texto no cifrado. La autenticacin por claves
compartidas previamente se utiliza por motivos de interoperabilidad y por compatibilidad con los
estndares de IPSec. Se recomienda que slo utilice claves previamente compartidas en pruebas y
que, en su lugar, emplee certificados o Kerberos V5 en un entorno de produccin.

REALIZADO POR:RODOLFO CAMPA CASTILLO

3.1.2 CENTROS DE DISTRIBUCIN DE CLAVES.

Sin duda alguna, el problema central de todo sistema de gestin de claves lo constituyen los
procedimientos de distribucin de stas. Esta distribucin debe efectuarse previamente a la
comunicacin. Los requisitos especficos en cuanto a seguridad de esta distribucin dependern
de para qu y cmo van a ser utilizadas las claves. As pues, ser necesario garantizar la identidad
de su origen, su integridad y, en el caso de claves secretas, su confidencialidad.

Las consideraciones ms importantes para un sistema de gestin de claves son el tipo de ataques
que lo amenazan y la arquitectura del sistema. Normalmente, es necesario que la distribucin de
claves se lleve a cabo sobre la misma red de comunicacin donde se est transmitiendo la
informacin a proteger. Esta distribucin es automtica y la transferencia suele iniciarse con la
peticin de clave por parte de una entidad a un Centro de Distribucin de Claves (intercambio
centralizado) o a la otra entidad involucrada en la comunicacin (intercambio directo). La
alternativa es una distribucin manual (mediante el empleo de correos seguros, por ejemplo),
independiente del canal de comunicacin. Esta ltima alternativa implica un alto coste econmico
y un tiempo relativamente largo para llevarse a cabo, lo que la hace descartable en la mayora de
las situaciones. La distribucin segura de claves sobre canal inseguro requiere proteccin
criptogrfica y, por tanto, la presencia de otras claves, conformando una jerarqua de claves. En
cierto punto se requerir proteccin no criptogrfica de algunas claves (llamadas maestras),
usadas para intercambiar con los usuarios de forma segura las claves que usarn en su(s) futura(s)
comunicacin(es). Entre las tcnicas y ejemplos no criptogrficos podemos citar seguridad fsica y
confianza.

La distribucin de claves se lleva siempre a cabo mediante protocolos, es decir, secuencias de

pasos de comunicacin (transferencia de mensajes) y pasos de computacin. Muchas de las
propiedades de estos protocolos dependen de la estructura de los mensajes intercambiados y no
de los algoritmos criptogrficos subyacentes. Por ello, las debilidades de estos protocolos
provienen normalmente de errores cometidos en los niveles ms altos del diseo.

v Validacin de identificacin usando un centro de distribucin de claves (KDC)

En Diffie-Hellman no hay garantas por el ataque de alguien en medio, efectuado por un extrao o
intruso. Otro inconveniente, es que para hablarle a n personas de esta manera se requeran n
claves (una verdadera carga).

Un enfoque diferente es introducir un centro de distribucin de claves fiables (KDC- Key

Distribution Center) Cada usuario tiene una sola clave compartida con el KDC La validacin de
identificacin y la administracin de claves de sesin ahora pasan a travs del KDC. El protocolo de
validacin e identificacin ms simple conocido es "la rana de boca amplia".

Los sellos temporales tA y tT impiden los ataques por repeticin.

Las desventajas de este protocolo aparentemente tan sencillo son:

T tiene que abrir una sesin de comunicacin con B.

Debe confiarse en que A sepa crear claves aleatorias K criptogrficamente seguras.

Hay que mantener relojes seguros sincronizados.

v Autenticacin con Kerberos.

Servicio de autenticacin (validacin de identificacin) desarrollado en el Massachusetts Institute

of Technology (MIT)

Asume un entorno distribuido y abierto en el que los usuarios desean acceder desde sus
estaciones de trabajo a servicios situados en servidores distribuidos a travs de la red.
Desearamos que los servidores fueran capaces de restringir el acceso solamente a usuarios
autorizados y ser capaces de autenticar peticiones a servicios. En este entorno, no se puede
confiar en una estacin de trabajo para identificar correctamente el acceso de sus usuarios a los
servicios de red.

Mejor que construir elaborados protocolos de autenticacin para cada servidor, Kerberos
proporciona un servidor de autenticacin centralizado cuya funcin es autenticar usuarios a
servidores y servidores a usuarios.

Kerberos es un KDC diseado por el MIT para autentificar la identidad (autenticar) de los usuarios
de una red digital insegura, as como para distribuir las claves secretas de sesin transitorias que
permitan a los usuarios de la red establecer comunicaciones seguras. En ocasiones estas claves de
sesin transitorias pueden ser de un solo uso (OTP, One Time Password).

Est basado en una variacin de Needham-Schroeder, con la condicin que requiere relojes bien
sincronizados. Kerberos

Acta como un rbitro en quien los usuarios confan

Utiliza con cada usuario una clave secreta diferente, intercambiada con Kerberos a travs de un
canal seguro. El conocimiento de dicha clave se utiliza como prueba de identidad del usuario.

La autentificacin se produce entre cliente-servidor y servidor-cliente.

En estas condiciones como Kerberos conoce las claves secretas de todos los usuarios, puede
demostrar a cualquiera de ellos la autenticidad de la identidad de otro.
Kerberos es el protocolo usado por Windows para la autenticacin entre cliente y servidor, as de
fci
Tiene dos tipos de nombres principales o Principal Names relativos a los dos objetos principales
del Directorio Activo, usuarios y mquinas, User Principal Names (UPN) y Service Principal Names
(SPN). Los dos deben ser UNICOS en todo el bosque.
Para poder investigar un posible error en el que Kerberos sea nuestro protagonista, es necesario
entender cmo funciona el proceso de autenticacin y conocer as los roles que entran en juego
en este proceso.

KDC o Key Distribution Center es un servicio que solo debe correr en un controlador de dominio o
DC y es el responsable de autenticar a los usuarios. KDC se compone de:

Authentication Server (AS), que verifica la identidad y proporciona el ticket (TGT) correspondiente
si efectivamente la autenticacin fue exitosa.

Ticket Granting Server (TGS), que emite el ticket cuando se realiza una peticin de conexin.

REALIZADOS POR: LUCIA HERNANDEZ HERNANDEZ.

3.1.3 CLAVES PBLICAS.

El principio del cifrado asimtrico (tambin conocido como cifrado con clave pblica) apareci en
1976, con la publicacin de un trabajo sobre criptografa por Whitfield Diffie y Martin Hellman.

Una clave pblica esencialmente resuelve el problema de distribucin de claves simtricas, que
hasta esos aos era uno de los principales problemas en la criptografa. De manera creativa es
tambin inventado el concepto de firma digital, que resuelve el problema de autenticidad de una
entidad. En la actualidad se cuenta con esquemas: de cifrado, de firma digital y de intercambio de
claves, entre sus principales usos.

En un criptosistema asimtrico (o criptosistema de clave pblica), las claves se dan en pares:

Una clave pblica para el cifrado;

Una clave secreta para el descifrado.

En un sistema de cifrado con clave pblica, los usuarios eligen una clave aleatoria que slo ellos
conocen (sta es la clave privada). A partir de esta clave, automticamente se deduce un algoritmo
(la clave pblica). Los usuarios intercambian esta clave pblica mediante un canal no seguro.

Cuando un usuario desea enviar un mensaje a otro usuario, slo debe cifrar el mensaje que desea
enviar utilizando la clave pblica del receptor (que puede encontrar, por ejemplo, en un servidor
de claves como un directorio LDAP). El receptor podr descifrar el mensaje con su clave privada
(que slo l conoce).

Este sistema se basa en una funcin que es fcil de calcular en una direccin (llamada funcin
trapdoor de nico sentido) y que, matemticamente, resulta muy difcil de invertir sin la clave
privada (llamada trapdoor).

Para ilustrarlo con un ejemplo, sera como si un usuario creara de forma aleatoria una pequea
llave metlica (la clave privada) y luego produjera una gran cantidad de candados (claves pblicas)
que guarda en un casillero al que puede acceder cualquiera (el casillero sera el canal no seguro).
Para enviarle un documento, cada usuario puede usar un candado (abierto), cerrar con este
candado una carpeta que contiene el documento y enviar la carpeta al dueo de la clave pblica
(el dueo del candado).

Slo el dueo podr abrir la carpeta con su clave privada.

VENTAJAS Y DESVENTAJAS
El problema de la comunicacin de la clave de descifrado ya no existe, ya que las claves pblicas se
pueden enviar libremente. Por lo tanto, el cifrado con clave pblica permite a las personas
intercambiar mensajes de cifrado sin tener que compartir un secreto.
Por otro lado, el problema consiste en asegurarse de que la clave pblica que se obtiene
pertenece realmente a la persona a la que desea enviar la informacin cifrada.

LA SEGURIDAD DE UN SISTEMA DE LA CCP

La seguridad de un sistema criptogrfico de clave pblica es sin duda la primera preocupacin, los
elementos que la componen deben de ser elegidos de la manera ms cuidadosa posible ya que de
ello depende su "seguridad", (casi es siempre satisfecho si tomamos en cuenta el estndar ms
actualizado) pero ningn sistema criptogrfico puede decirse totalmente seguro, en el sentido de
que no pueda ser atacado de alguna manera nueva y novedosa.

En trminos ms formales en la actualidad se esta discutiendo mucho sobre una definicin de

seguridad en los sistemas de clave pblica, por el momento existen dos corrientes, una de ellas
afirma que todo esquema de clave pblica puede y debe de probar su seguridad va los mtodos
formales que existen para ello u otros nuevos. La otra corriente no menos importante menciona
que dicha seguridad formal no aporta mucho a la seguridad "real", es decir que en la prctica no
se ve reflejado dicha seguridad.

De manera sencilla la seguridad de un sistema criptogrfico ha ido modificndose, desde la

primera nocin, un sistema criptogrfico era seguro si su funcin primitiva era de un solo sentido.
Posteriormente se modific esta definicin a: Dada una clave pblica y un mensaje cifrado
(llamado ciphertext), entonces el sistema de clave pblica es seguro si no se puede derivar el texto
ordinario o la clave secreta correspondiente. Una tercera y ms fuerte definicin de seguridad es:
El sistema de clave pblica es seguro si no puede derivarse "cualquier" informacin de los
plaintexts o de la clave a partir de toda la informacin posible que pueda tenerse y que el atacante
pueda incluso acomodar para sus propsitos, incluyendo ciphertexts, plaintexts, parte de la clave,
u otros parmetros del sistema como IV (vectores de inicializacin).

En la actualidad la seguridad de un sistema de clave pblica no se limita al propio sistema sino

tambin al modo de operacin del algoritmo, del esquema, del protocolo, del dispositivo que lo
aplica, etc.

REALIZADOS POR: LUCIA HERNANDEZ HERNANDEZ.

3.1.4 EJEMPLOS DE PROTOCOLOS DE AUTENTICACIN.

v DIFFIE-HELLMAN.
El protocolo Diffie-Hellman (debido a Whitfield Diffie y Martin Hellman) permite el intercambio
secreto de claves entre dos partes que no han tenido contacto previo, utilizando un canal
inseguro, y de manera annima (no autenticada).Se emplea generalmente como medio para
acordar claves simtricas que sern empleadas para el cifrado de una sesin. Siendo no
autenticado, sin embargo provee las bases para varios protocolos autenticados. Su seguridad
radica en la extrema dificultad (conjeturada, no demostrada) de calcular logaritmos discretos en
un campo finito.

v KERBEOS.

Kerberos es un protocolo de autenticacin de redes de ordenador que permite a dos

computadores en una red insegura demostrar su identidad mutuamente de manera segura. Sus
diseadores se concentraron primeramente en un modelo de cliente-servidor, y brinda
autenticacin mutua: tanto cliente como servidor verifican la identidad uno del otro. Los mensajes
de autenticacin estn protegidos para evitar eavesdropping (Escuchar secretamente) y ataques
de Replay.Kerberos se basa en criptografa de clave simtrica y requiere un tercero de confianza.
Adems, existen extensiones del protocolo para poder utilizar criptografa de clave asimtrica. En
resumen el funcionamiento es el siguiente: el cliente se autentica a s mismo contra el AS, as
demuestra al TGS que est autorizado para recibir un ticket deservicio (y lo recibe) y ya puede
demostrar al SS que ha sido aprobado para hacer uso del servicio kerberizado.

ELABORADOS POR: HECTOR HERNANDEZ REYES.

3.2 FIRMAS DIGITALES.

Las firmas digitales son una de estas cosas de las que todo el mundo ha odo hablar pero muchos
no saben exactamente que son.

La criptografa es tan antigua como la escritura. Se dice que las primeras civilizaciones que usaron
la criptografa fueron la egipcia, la Mesopotmica, la India y la China. Pero a quien se atribuye el
primer mtodo de encriptado con su debida documentacin es al general romano Julio Csar,
quien cre un sistema simple de sustitucin de letras, que consista en escribir el documento
codificado con la tercera letra que siguiera a la que realmente corresponda. La A era sustituida
por la D, la B por la E y as sucesivamente.
La seguridad es uno de los elementos clave en el desarrollo positivo de las redes de informacin
mundial y particularmente en el comercio electrnico, sta genera confianza, y hace que los
usuarios al depositar sus datos en la red, estn seguros de que no sern alterados ni desviados a
usuarios no autorizados.

La firma digital es la transmisin de mensajes telemticos, un mtodo criptogrfico que asegura

su integridad as como la autenticidad del remitente.

v FUNCIONAMIENTO.

La firma digital de un documento no es un passwords, es el resultado de aplicar cierto algoritmo

matemtico, denominado funcin hash , al contenido. Esta funcin asocia un valor dentro de un
conjunto finito (generalmente los nmeros naturales) a su entrada. Cuando la entrada es un
documento, el resultado de la funcin es un nmero que identifica casi unvocamente al texto. Si
se adjunta este nmero al texto, el destinatario puede aplicar de nuevo la funcin y comprobar su
resultado con el que ha recibido.

v El proceso de firma es el siguiente:

El usuario prepara el mensaje a enviar.

El usuario utiliza una funcin hash segura para producir un resumen del mensaje.
 El remitente encripta el resumen con su clave privada. La clave privada es aplicada al texto del
resumen usando un algoritmo matemtico. La firma digital consiste en la encriptacin del
resumen.

El remitente une su firma digital a los datos.

El remitente enva electrnicamente la firma digital y el mensaje original al destinatario. El

mensaje puede estar encriptado, pero esto es independiente del proceso de firma.

El destinatario usa la clave pblica del remitente para verificar la firma digital, es decir para
desencriptar el resumen adosado al mensaje.

El destinatario realiza un resumen del mensaje utilizando la misma funcin resumen segura.

El destinatario compara los dos resmenes. Si los dos son exactamente iguales el destinatario
sabe que los datos no han sido alterados desde que fueron firmados.

v Aplicaciones.

Correo seguro.
 Mensajes con autenticidad asegurada.

Contratos comerciales electrnicos.

Factura _ electrnica.

Desmaterializacin de documentos.

Transacciones comerciales electrnicas.

Invitacin electrnica.

Dinero electrnico.

Notificaciones judiciales electrnicas.

Voto electrnico.

Decretos ejecutivos (gobierno).

 Crditos de seguridad social.

Contratacin pblica.

Sellado de tiempo.

3.2.1 FIRMAS DIGITALES DE CLAVE SIMTRICA

Ms all del acceso a la informacin y servicios de un usuario final, la integracin de

Internet en los procesos de negocio de una compaa necesita ms que nunca de un grado
de fiabilidad y confianza en el medio. Slo cuando ese grado de confianza se alcanza y se
mantiene, podr disminuirse ese gran inhibidor de desarrollo digital que es la sensacin de
inseguridad.

El enorme desarrollo de las transacciones online implica necesariamente abordar el tema de

la seguridad, tanto desde el punto de vista tcnico como jurdico. Pero, qu se entiende por
seguridad en Internet? Bsicamente se trata de implementar los mecanismos necesarios
para que cuando se realice una operacin a travs de un medio electrnico, se asegure la
integridad del contenido y se autentifique al remitente y al receptor.

La adopcin de protocolos de seguridad, la aparicin de nuevas formas de pago, as como

las fuertes inversiones que estn realizando las empresas, nacen de una necesidad de
demostrar que las transacciones online son cada vez ms fiables.

Esta inseguridad es el taln de Aquiles de los negocios online y el principal impedimento

para su desarrollo. Una solucin es el uso de la firma digital. Sus utilidades son infinitas,
desde realizar una compra online, hasta hacer la declaracin de la renta, pasando por
transacciones bancarias, facturas electrnicas o rellenar documentos sanitarios.

La firma digital est compuesta por dos claves -una privada y otra pblica-, que permiten
identificar a la persona que ha firmado el documento y, por tanto, asegura que ha sido l y
no otro el autor del texto. Como la firma ha sido creada por medio de un dato que slo el
firmante conoce (la clave privada), se evita as la posibilidad de suplantar su identidad.
3.2.2 FIRMAS DIGITALES DE LLAVE PBLICA

En el mundo de la red, la industria mueve hacia las autoridades de certificacin de llaves pblicas
para proveer infraestructura de autenticacin. El amplio alcance del Internet requiere igualmente
de un amplio alcance de la infraestructura para apoyar el uso de la tecnologa de la llave pblica
sobre el Internet.

Es importante tener en cuenta la infraestructura de llave pblica. Para que la autenticacin sea
provechosa, se debe comprometer un par de llaves pblicas a un certificado para que de esta
manera se le d a la persona o identidad de la corporacin. Una firma digital no es tan robusta
como una firma fsica. Una firma fsica es legtimamente nica. Sobre una red de computadora, su
identidad se puede verificar, emitindose un par de llaves nicas que puede ser comprometida a
su identidad.

Esta infraestructura tiene por objetivo permitir a alguien de ser autenticado en lnea. La Autoridad
de Certificacin debe verificar la identidad del solicitante, emitir el certificado y administrar la
condicin de ese certificado sobre el perodo de autorizacin. Alguien debe ser capaz de verificar
el certificado emitido y ser capaz de verificar su condicin actual.

Para explicar mejor la necesidad de infraestructura, podemos citar como ejemplo los bancos que
actan como un tipo de autoridad de certificacin, en donde los clientes establecen relaciones con
bancos locales. Esta relacin comienza con abrir una cuenta de algn tipo: prstamo, cuenta
corriente, cuenta de ahorros, etc. Al cliente se le proporciona un nmero de cuenta que los
identifica con su banco. Cuando el cliente emite instrucciones para pagar a otra persona fuera de
una cuenta, el banco ejecuta esa instruccin.

En el mundo de la red se autentica por medio de certificados y firmas digitales. Por ejemplo, el
banco emite al poseedor de cuenta un certificado por medio de su Autoridad de Certificacin. El
poseedor de cuenta enva una solicitud de carta de crdito a su banco, firmando el pedido. Luego
que se ha estudiado la solicitud, el banco enva una carta de crdito firmada digitalmente al banco
del vendedor, garantizando el pago sobre el recibo de las mercaderas. El banco del vendedor
puede verificar la identidad tanto del banco como del comprador, usando sus certificados.
Servicio de Administracin Tributaria:

Qu es y para qu sirve la Firma Electrnica Avanzada?

La Firma Electrnica Avanzada "Fiel" es un conjunto de datos que se adjuntan a un mensaje

electrnico, cuyo propsito es identificar al emisor del mensaje como autor legtimo de ste, tal y
como si se tratara de una firma autgrafa.

Por sus caractersticas, la Fiel brinda seguridad a las transacciones electrnicas de los
contribuyentes, con su uso se puede identificar al autor del mensaje y verificar no haya sido
modificado.

Su diseo se basa en estndares internacionales de infraestructura de claves pblicas (o PKI por

sus siglas en ingls: Public Key Infrastructure) en donde se utilizan dos claves o llaves para el envo
de mensajes:

La "llave o clave privada" que nicamente es conocida por el titular de la Fiel, que sirve para cifrar
datos; y

La "llave o clave pblica", disponible en Internet para consulta de todos los usuarios de servicios
electrnicos, con la que se descifran datos. En trminos computacionales es imposible descifrar un
mensaje utilizando una llave que no corresponda.

En general, el cifrado asimtrico se emplea para cifrar las claves de sesin utilizadas para cifrar el
documento, de modo que puedan ser transmitidas sin peligro a travs de la Red junto con el
documento cifrado, para que en recepcin ste pueda ser descifrado. La clave de sesin se cifra
con la clave pblica del destinatario del mensaje, que aparecer normalmente en una libreta de
claves pblicas. E cifrado asimtrico se emplea tambin para firmar documentos y autenticar
entidades, como se describe a continuacin. En principio, bastara con cifrar un documento con la
clave privada para obtener una firma digital segura, puesto que nadie excepto el poseedor de la
clave privada puede hacerlo. Posteriormente, cualquier persona podra descifrarlo con su clave
pblica, demostrndose as la identidad del firmante.

Cortafuegos informticos: Qu son y para

qu sirven
Seguramente, te habrs encontrado con el trmino cortafuegos informtico en ms de una
ocasin, sobre todo a la hora de mejorar la seguridad de tu red local o de tu ordenador o
al configurar tu equipo para que alguna aplicacin que necesite comunicarse de forma
directa con un servicio de Internet pueda hacerlo sin problemas.

Pero para qu necesito un cortafuegos en mi ordenador? Dnde est el incendio del que
debo protegerme?

El nombre de cortafuegos o firewall se le aplic a este componente informtico por su

similitud con el concepto de la defensa, contencin y aislamiento de zonas que
proporcionan estas medidas de seguridad contra los incendios.

En este caso, el fuego del que debes proteger a tu ordenador es el de los ataques que
pudieran producirse (que de hecho se producen) desde Internet.

Qu es un cortafuegos informtico?

El uso de este tipo de sistemas de control de acceso es tan antiguo (o tan moderno, segn se
mire) como Internet.

A finales de los 80, cuando la Red no era ms que un inocente retoo que daba sus
primeros pasos, algunos de sus usuarios ya haban descubierto que podan hacer travesuras
en los ordenadores ajenos infiltrndose a travs de su conexin a Internet.

Para poner remedio a esa situacin que pona en peligro la seguridad y la privacidad en la
red se iniciaron las primeras iniciativas para reforzar la seguridad de acceso a Internet o
desde Internet.

El cortafuegos es la primera lnea de defensa ante un ataque a tu red desde Internet y

debe ser capaz de repeler un acceso no autorizado antes de que el atacante pueda llegar a tu
red local o a tu ordenador y, al mismo tiempo, permitir el normal intercambio de datos entre
tu ordenador y servicios verificados de internet.

Los mejores cortafuegos para tu PC

Para ello se utilizan una serie de reglas que establecen como deben ser tratados los
elementos que se envan o reciben en tu ordenador y si estos elementos pueden continuar su
camino hasta su destino o deben ser interceptados y devueltos a su origen.

Haciendo una analoga, el cortafuegos es como el portero de una discoteca. l es quien

decide quin entra y quin no.

Si el dueo de la discoteca (el usuario del ordenador en este caso) le ha ordenador

expresamente que no puede entrar nadie con zapatillas deportivas, con la cabeza cubierta o
con camisa azul, todo aquel cliente que cumpla con alguna de esas caractersticas se
quedar irremediablemente fuera del local.

Lo mismo sucede con los clientes que ya estn dentro del local.
Si el portero detecta que uno de los clientes que ya estaba dentro est intentando salir con la
recaudacin de la caja que acaba de robar (que tambin podran ser tus datos personales o
bancarios) , puede bloquear su salida para que la recaudacin no salga del local y el robo no
llegue a completarse.

Por lo tanto, el cortafuegos cumple a la perfeccin con el concepto de contencin del

peligro y de aislamiento para preservar la integridad de lo que protege.

Redes privadas virtuales

Se aplica a: Windows Server 2008 R2

Una red privada virtual (VPN) es una conexin punto a punto a travs de una red privada o
pblica, como Internet. Un cliente VPN usa protocolos especiales basados en TCP/IP
llamados protocolos de tnel que establecen un canal seguro entre dos equipos por el que
pueden enviar datos. Desde la perspectiva de los dos equipos que intervienen, hay un
vnculo punto a punto dedicado entre ambos, aunque en realidad los datos se redirigen por
Internet como se hara con cualquier otro paquete. En una implementacin VPN tpica, un
cliente inicia una conexin punto a punto virtual con un servidor de acceso remoto a travs
de Internet. El servidor de acceso remoto responde a la llamada, autentica al usuario que
realiza la llamada y transfiere datos entre el cliente VPN y la red privada de la
organizacin.

Para emular un vnculo punto a punto, los datos se encapsulan, o se ajustan, con un
encabezado. El encabezado proporciona la informacin de enrutamiento que permite a los
datos recorrer la red compartida o pblica hasta alcanzar su extremo. Para emular un
vnculo privado, los datos enviados se cifran por motivos de confidencialidad. Para obtener
ms informacin acerca de los protocolos de tnel compatibles con esta versin de
Windows, vea el tema sobre protocolos de tnel de VPN (puede estar en ingls).

Para obtener los requisitos de instalacin, vea el tema donde se describen los Requisitos
para instalar RRAS como un servidor VPN.

Conexin VPN
Existen dos tipos de conexiones VPN:

VPN de acceso remoto

Una conexin VPN de acceso remoto permite al usuario que trabaja desde casa o que est
de viaje tener acceso a un servidor de una red privada mediante la infraestructura
proporcionada por una red pblica como, por ejemplo, Internet. Desde el punto de vista del
usuario, la VPN es una conexin punto a punto entre el equipo cliente y el servidor de la
organizacin. La infraestructura de la red compartida o pblica es irrelevante, ya que
aparece lgicamente como si los datos se enviaran a travs de un vnculo privado dedicado.

VPN de sitio a sitio

Una conexin VPN de sitio a sitio (a veces llamada conexin VPN de enrutador a
enrutador) permite a una organizacin tener conexiones enrutadas entre distintas oficinas o
con otras organizaciones a travs de una red pblica a la vez que se mantiene la seguridad
de las comunicaciones. Cuando las redes se conectan a travs de Internet, tal como se
muestra en la siguiente imagen, un enrutador habilitado para VPN reenva paquetes a otro
enrutador habilitado para VPN a travs de una conexin VPN. Para los enrutadores, la
conexin VPN aparece lgicamente como un vnculo dedicado en el nivel de vnculo de
datos.
Una conexin VPN de sitio a sitio conecta dos redes privadas. El servidor VPN
proporciona una conexin enrutada a la red a la que est conectada el servidor VPN. El
enrutador que realiza la llamada se autentica a s mismo en el enrutador que responde y,
para realizar una autenticacin mutua, el enrutador que responde se autentica a s mismo en
el enrutador que realiza la llamada. En una conexin VPN de sitio a sitio, los paquetes
enviados desde cualquiera de los enrutadores a travs de la conexin VPN por lo general no
se originan en los enrutadores.

Conexin mediante VPN de dos sitios remotos a travs de Internet

Propiedades de las conexiones VPN

Encapsulacin. Los datos privados se encapsulan con un encabezado que contiene

informacin de enrutamiento que permite a los datos recorrer la red de trnsito. Para
obtener ejemplos de encapsulacin, vea el tema sobre protocolos de tnel de VPN (puede
estar en ingls) (http://go.microsoft.com/fwlink/?linkid=140602).

Autenticacin. La autenticacin para las conexiones VPN puede realizarse de tres formas
distintas:

1. Autenticacin en el nivel de usuario con autenticacin PPP (Protocolo punto a

punto). Para establecer la conexin VPN, el servidor VPN autentica el cliente VPN
que intenta realizar la conexin con un mtodo de autenticacin PPP en el nivel de
usuario y comprueba que el cliente VPN tiene la autorizacin adecuada. Si se usa
la autenticacin mutua, el cliente VPN tambin autentica el servidor VPN, lo que
proporciona proteccin frente a equipos que se hacen pasar por servidores VPN.

2. Autenticacin en el nivel de equipo con Intercambio de claves por red (IKE). Para
establecer una asociacin de seguridad (SA) de protocolo de seguridad de Internet
(IPsec), el cliente VPN y el servidor VPN usan el protocolo IKE para intercambiar los
certificados de equipo o una clave previamente compartida. En cualquiera de los
casos, el cliente y el servidor VPN se autentican mutuamente en el nivel de
equipo. La autenticacin de certificados de equipo es un mtodo de autenticacin
mucho ms seguro y, por lo tanto, es muy recomendable. Las conexiones IKE
versin 2 o protocolo de tnel de capa dos (L2TP)/IPsec usan la autenticacin en el
nivel de equipo.
 3. Autenticacin del origen de datos e integridad de datos. Para comprobar que los
datos enviados en la conexin VPN se originaron al otro extremo de la conexin y
no se modificaron durante el trnsito, los datos contienen una suma de
comprobacin criptogrfica basada en una clave de cifrado que solo conocen el
destinatario y el remitente. La autenticacin del origen de datos y la integridad de
datos estn disponibles para las conexiones IKE versin 2 y L2TP/IPsec.

Cifrado de datos. Para garantizar la confidencialidad de los datos mientras recorren la red
compartida o pblica, el remitente cifra los datos y el destinatario los descifra. El proceso
de cifrado y descifrado depende de que tanto el remitente como el receptor usen una
clave de cifrado comn.

Los paquetes interceptados enviados con la conexin VPN en la red de trnsito son
ininteligibles para cualquier persona que no tenga la clave de cifrado comn. La longitud
de la clave de cifrado es un importante parmetro de seguridad. Puede usar tcnicas de
clculo para determinar la clave de cifrado. Sin embargo, dichas tcnicas requieren mayor
capacidad de proceso y tiempo de clculo a medida que aumenta el tamao de las claves
de cifrado. Por lo tanto, es importante usar claves del mayor tamao posible para
garantizar la confidelidad