Ecomerce 1

SEGURIDAD EN EL COMERCIO
ELECTRONICO A TRAVES DE
REDES PRIVADAS VIRTUALES.
COMERCIO
ELECTRONICO
COMERCIO ELECTRONICO
¿QUÉ ES EL COMERCIO ELECTRONICO?
TIPOS DE COMERCIO ELECTRONICO.
SISTEMAS DE PAGOS DIGITALES.
SISTEMAS DE PAGOS BASADOS EN
INTERNET.
PROTOCOLO PARA TRANSACCIONES
ELECTRONICAS SEGURAS (SET).
PROBLEMASQUE SE SUSCITAN CON EL
E-COMMERCE.
CONSIDERACIONES LEGALES - CIVILES
¿QUÉ ES EL COMERCIO ELECTRONICO?
Es cualquier forma de transacción comercial basada en la

transmisión de datos sobre redes de comunicación.
No se limita a comprar y vender, sino a todos los

aspectos mercantiles como publicidad, relaciones con los
trabajadores, contabilidad, búsqueda de información sobre
productos o proveedores, etc.
¿QUÉ ES EL COMERCIO ELECTRONICO?
Las empresas, aunque estén físicamente alejadas de sus

clientes y proveedores, pueden tener una mejor
comunicación y accesibilidad a todas las acciones
comerciales.
Bajo la denominación de comercio electrónico se incluye

tanto el comercio indirecto o pedido electrónico de bienes
tangibles como el directo o entrega en línea de bienes
intangibles.
COMERCIO
ELECTRONICO
¿QUÉ ES ELCOMERCIO ELECTRONICO?
La aparición del comercio electrónico obliga a

replantear cuestiones del comercio tradicional,
surgiendo nuevos problemas, como:
 La validez legal de las transacciones y contratos

sin papel.
 El control de las transacciones internacionales,
incluido el cobro de impuestos.
 La protección de los derechos de propiedad
intelectual.
COMERCIO
ELECTRONICO
¿QUÉ ES ELCOMERCIO ELECTRONICO?
 El fraude.
 El uso abusivo de los datos personales.
Hasta otros provocados por:

 La falta de seguridad de las transacciones y medios de
pago electrónicos.
 La falta de estándares consolidados.
 La congestión de Internet.
 La proliferación de aplicaciones y protocolos
incompatibles.
COMERCIO
ELECTRONICO
TIPOS DE COMERCIO ELECTRONICO

Comercio entre empresas “Business to Business”
(B2B).
Comercio entre consumidores “Consumer to
Consumer” (C2C).
Negocios entre empresas y consumidores “Business to
Consumer” (B2C).
Comercio entre amigos “Pear to Pear” (P2P).
Negocios entre empresas y empleados “Business to
employee” (B2E).
Comercio entre gobiernos “Goverment to
Goverment” (G2G).
SISTEMAS DE PAGOS DIGITALES

TARJETAS DE CREDITO
Una transacción común de tarjeta de crédito involucra

a 5 partes:
El cliente.
El comerciante.
El banco del cliente.
El banco del comerciante o banco adquiriente.
La red interbancaria.
COMERCIO
ELECTRONICO

TARJETAS DE CREDITO
Una transacción ordinaria con tarjetas de crédito
consta de 10 pasos:
1) El cliente entrega su tarjeta de crédito al comerciante.

2) El comerciante pide autorización al banco
adquiriente.
3) La red interbancaria envía un mensaje del banco
adquiriente al banco del consumidor pidiendo
autorización.
4) El banco del cliente envía una respuesta al banco
adquiriente.
COMERCIO
ELECTRONICO

TARJETAS DE CREDITO
5) El banco adquiriente notifica al comerciante que el
cargo ha sido aprobado.
6) El comerciante llena la orden del cliente.
7) El comerciante presenta cierta cantidad de cargos al
banco adquiriente.
8) El banco adquiriente envía cada solicitud de pago al
banco del cliente.
9) El banco del cliente debita de la cuenta del cliente.
10) El banco adquiriente hace un crédito a la cuenta del
comerciante.
COMERCIO
ELECTRONICO
TARJETAS DE CREDITO
USOS DE TARJETAS DE CREDITO EN INTERNET
Las tarjetas de crédito fueron una opción obvia para los

primeros sistemas de pago basados en Internet.
Existen 3 técnicas distintas para aceptar números de

tarjetas de crédito junto con transacciones iniciadas a
través del web:
1) Fuera de línea (Off line).

2) En línea con encriptación.
3) En línea sin encriptación.
SISTEMAS DE PAGO BASADOS EN INTERNET

TIPOS DE SISTEMAS DE PAGO
Anónimos: es matemáticamente imposible que un comerciante o

banco averiguen la identidad del consumidor.
Privados: el comerciante no conoce la identidad del consumidor,

pero le es posible averiguarla a través de la organización que opera
el sistema de pagos.
Identificatorios: Los sistemas de pago pueden identificar al

consumidor ante el comerciante en todos los casos, como por
ejemplo las tarjetas de crédito convencionales.
DIGICASH.
Es un sistema de pagos electrónicos que se basa en un
sistema de prendas digitales llamadas monedas digitales.
VIRTUAL PIN.
No necesita de un programa especial para que el
consumidor pueda realizar compras. Los pagos son
autorizados mediante correo electrónico.
PIN virtuales típicos son “COMPRA VIRTUAL”, “SU
PIN VIRTUAL”, “GASTA MI DINERO”.
CYBERCASH / CYBER COIN.

CyberCash es un sistema basado en tecnología de llave pública que
permite usar tarjetas de crédito convencionales a través del World
Wide Web. CyberCoin es una adaptación de la misma tecnología
para realizar transacciones de pequeño monto.
Para utilizar CyberCash, el consumidor debe descargar un

programa especial del sitio web. Al programa se le llama billetera
CyberCash, y mantiene una base de datos de las tarjetas de crédito
y otros instrumentos de pago del usuario.
SISTEMAS DE PAGO DIGITALES

TARJETAS INTELIGENTES.
Las tarjetas inteligentes son idénticas a las de crédito, excepto que
almacenan información en chips de microprocesadores en vez de
bandas magnéticas.
Pueden almacenar una cantidad de información mucho mayor que

las tarjetas de banda magnéticas.
Las tarjetas inteligentes pueden protegerse mediante una clave de

acceso.
Las tarjetas inteligentes pueden ejecutar motores de encriptación

RSA.
COMERCIO
ELECTRONICO
PROTOCOLO PARA TRANSACCIONES

ELECTRONICAS SEGURAS (SET)
SET (Secure Electronics Transaction) es el protocolo para

Transacciones Electrónicas Seguras para enviar
información de pagos hechos con tarjetas a través de
Internet. Sus metas son:
Permitir la transmisión confidencial.

Autenticar a las partes involucradas.
Asegurar la integridad de las instrucciones de pago por
bienes y servicios.
Autentificar la identidad del tarjeta habiente y del
comerciante entre sí.
COMERCIO
ELECTRONICO

SET utiliza encriptación para brindar confidencialidad en la

comunicación, y firmas digitales para autenticación.
Con SET, se pide a los comerciantes certificados digitales

emitidos por sus bancos adquirientes, para los consumidores
es opcional.
SET permite incluir información privada entre el consumidor

y el comerciante y entre el consumidor y el banco en una sola
transacción firmada mediante una estructura criptográfica
conocida como firma dual.
COMERCIO
ELECTRONICO
El campo del comerciante se encripta con la llave pública

del comerciante; de la misma forma, el campo del banco se
encripta con la llave pública del banco.
La firma dual permite tanto al comerciante como al

banco leer y validar su firma en la mitad de la solicitud de
compra sin tener que desencriptar el campo de la otra
parte.
COMERCIO
ELECTRONICO
PROBLEMAS QUE SE SUSCITAN CON EL

ECOMMERCE
Problemas legales de las direcciones IP y DNS.

Propiedad intelectual e industrial.
Ley Orgánica de Regulación del Tratamiento
automatizado de datos de carácter personal.
Dinero Electrónico.
Derecho de las telecomunicaciones.
Efecto aldea global.
Seguridad y valor probatorio del documento electrónico.
CONSIDERACIONES LEGALES-CIVILES
Propiedad Intelectual.
La Ley de Derechos de Autor.
Infracción de Derecho de Autor.
Piratería de Software y la SPA.
Warez.
La Ley de patentes.

SEGURIDAD EN EL WEB
SEGURIDAD EN EL WEB
 CRIPTOGRAFIA.
 ENCRIPTACION Y DESENCRIPTACION.
 ALGORITMOS Y FUNCIONES CRIPTOGRAFICAS.
 TIPOS DE VULNERABILIDADES.
 LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB.
 LOS SISTEMAS ACTUALES DE ENCRIPTACION.
 COMPARACION ENTRE LOS SISTEMAS ACTUALES.
CORTAFUEGOS (FIREWALLS).
TIPOS DE CORTAFUEGOS.
CORTAFUEGOS EN REDES PRIVADAS VIRTUALES.
SEGURIDAD EN EL WEB
CRIPTOGRAFIA
La criptografía es un conjunto de técnicas empleadas para
conservar segura la información.
Por ejemplo, he aquí un mensaje que tal vez debe enviar:
“ S S L i s a c r i p t o g r a f i c p r o t o c o l.”
Este podría ser el mensaje una vez encriptado:
“*--!’$5******+-¡d..=¡*[_:;°!”#$%#$”
Aún mejor mediante la criptografía es posible volver a convertir

este mensaje cifrado en el comprensible mensaje original.
SEGURIDAD EN EL WEB
ENCRIPTACION
Proceso mediante el cual el mensaje llano se transforma en un mensaje

cifrado mediante una función compleja y una llave de codificación
especial.
L
L
A
V
E
Algoritmo
de
encriptación
Encriptación
Proceso de Encriptación.
SEGURIDAD EN EL WEB
DESENCRIPTACION
Proceso inverso, en el cual el texto cifrado se convierte nuevamente en

el texto llano original mediante una función compleja y una llave de
desencriptación.
L
L
A
V
E
Algoritmo
de
encriptación
Desencriptación
Proceso de Desencriptación.
SEGURIDAD EN EL WEB
ALGORITMOS Y FUNCIONES
CRIPTOGRAFICAS
 Algoritmos de llaves simétricas o de llaves

privadas.
 Algoritmos de llave pública.
 Criptosistemas Híbridos Público/Privado.
 Funciones de compendio de mensajes.
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES
SIMETRICAS
En este tipo de algoritmos se utiliza la misma llave para encriptar y
desencriptar el mensaje. Son muy rápidos. El problema con este tipo
de sistemas es el número de llaves que es necesario administrar.
Entre los más comunes tenemos:
 DES (Data Encription Standard)

 DESX
 Triple-DES
 Blowfish (Pez Globo)
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES
SIMETRICAS
 IDEA (International Data Encription Algoritmh)

 RC2 (Código de Rivest 2)
 RC4.
 RC5.
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES PUBLICAS
En este tipo de algoritmos se utiliza una llave para encriptar el

mensaje y otra para desencriptarlo.
La llave de encriptación se conoce como llave pública, mientras
que la llave de desencriptación se conoce como llave privada o
secreta. Entre los más comunes tenemos:
 Intercambio de llaves Diffie-Helman.
 RSA. (Rivest Shamir Adleman)
 EL GAMAL.
 DSS. (Digital Signature Estándar)
SEGURIDAD EN EL WEB
CRIPTOSISTEMAS HIBRIDOS
PUBLICO/PRIVADO
La criptografía de llave pública se puede utilizar en
conjunción con la criptografía de llave privada para
obtener los beneficios de ambos, es decir; las ventajas de
seguridad de los sistemas de llave pública y las ventajas de
velocidad de los sistemas de llave privada.
En estos sistemas, la criptografía de llave pública, más
lenta, se utiliza para intercambiar una llave de sesión, que
se usa entonces como base para un algoritmo de llaves
simétricas.
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO
DE MENSAJES
Una función de compendio de mensajes (message digest) genera

un patrón de bits único para una entrada específica.
Las funciones de compendio de mensajes transforman la
información contenida en un archivo pequeño o grande, a un sólo
número, típicamente de entre 128 y 256 bits.
El valor del compendio se calcula de modo que encontrar una
entrada que genere en forma exacta un compendio específico no
sea factible computacionalmente.
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO DE MENSAJES
FUNCION DE COMPENDIO DE
MENSAJES
Compendio de mensajes
de 128 bits.
La función de compendio de
Documento 1 mensajes crea un compendio único
por cada documento único.
Compendio de mensajes
de 128 bits.
Documento 2
Función de compendio de mensajes

SEGURIDAD EN EL WEB
Entre las funciones más importantes tenemos:
 HMAC (Hashed Message Autenthication Code).

 MD2 (Message Digest #2).
 MD4
 MD5
 SHA (Secure Hash Algorithm).
 SHA1
SEGURIDAD EN EL WEB
Analizemos el siguiente ejemplo con el algoritmo MD5
MD5 (Hay $1500 en la caja azu )

=d9261e7d6d1ee9c039076ab02cda6629
MD5 (Hay $1500 en la caja azul )
=b8f3aa09ccdec76bce9001f1043ceefa
MD5 (Hay $1500 en la caja azul. )
=f1348485f7619f3017c641af3268cda
MD5 (Hay $1500 en la caja azul! )
=062dc60d4db7b2fc6130389e8bba6254
SEGURIDAD EN EL WEB
FIRMAS DIGITALES
Las firmas digitales funcionan de manera inversa al proceso
de cifrado normal. La firma digital utiliza la llave privada en
algunos bloques de datos y el receptor descifra esos datos con
la llave pública que está disponible y es conocida.
PROCESO DE FIRMA DIGITAL.

Un usuario aplica una función de transformación del código
al mensaje, la cual lo reduce a un tamaño de 128 bits. El
compendio resultante del mensaje se cifra con la clave privada
del usuario y este proceso crea la firma digital.
SEGURIDAD EN EL WEB
AUTORIDADES EMISORAS DE CERTIFICADOS
Siempre existe la posibilidad de un fraude en cualquier infraestructura de llave

pública. Con el uso de las firmas digitales, se puede estar seguro de que alguien
firmó el documento, pero se necesita un tercero para asegurarse de que la firma
es legítima. Ese es el papel de la AUTORIDAD EMISORA DE
CERTIFICADOS (CA): asegurar que esa persona es quien dice ser.
La llave pública, una pieza única de identificación de usuario, y una

identificación particular de la CA forman el certificado sin firma.
La CA firma la información de la siguiente manera: la CA transforma el código

del certificado sin firma, luego toma el código transformado y lo cifra junto con
su clave privada, al final adjunta esta firma al certificado original para crear el
certificado.
SEGURIDAD EN EL WEB
TIPOS DE VULNERABILIDADES
 INTERRUPCION: el ataque ocasiona que un recurso del
sistema deje de estar disponible.
 INTERSECCION: el atacante produce la captura no autorizada

de la información en el medio de transmisión.
 FALSIFICACION: el ataque produce que una entidad no

autorizada inserte mensajes falsos en el sistema.
MODIFICACION: no solo se da el acceso no autorizado a un

recurso sino también la capacidad de manipularlo.
SEGURIDAD EN EL WEB
LA CRIPTOGRAFIA Y LA SEGURIDAD EN
EL WEB
Existen cuatro palabras claves que se utilizan para describir todas

las funciones que tiene la encriptación en los sistemas de
información modernos. Estas funciones son:
 CONFIDENCIALIDAD.
 AUTENTICACION.
 INTEGRIDAD.
 NO REPUDIACION.
SEGURIDAD EN EL WEB
LA CRIPTOGRAFIA Y LA SEGURIDAD EN
EL WEB
CONFIDENCIALIDAD.- La encriptación se utiliza para ocultar la

información enviada a través de Internet y almacenarla en servidores, de forma
que cualquiera que intente interceptarlas no pueda tener acceso al contenido de
los datos.
AUTENTICACION.- Las firmas digitales sirven para identificar al autor de
un mensaje; las personas que reciben el mensaje pueden comprobar la identidad
de quien lo firmó.
INTEGRIDAD.- Para verificar que un mensaje no ha sido modificado en
tránsito.
NO REPUDIACION.- Mediante la encriptación se crean recibos de forma
que el autor de un mensaje no pueda negar falsamente su envío.
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION

Los sistemas criptográficos se componen de protocolos de red utilizados para
proporcionar confidencialidad, autenticación, integridad y no repudiación en un
ambiente de red. Algunos sistemas populares son:
 PGP  DNSSEC
 SSL  Ipsec e IPv6
 PCT  Kerberos.
 S-HTTP  SSH
 SET y Cyber Cash
SEGURIDAD EN EL WEB

PGP
PGP (Pretty Good Privacy). Privacía bastante segura, es un sistema completo para
la protección de correo electrónico y archivos. También es un conjunto de
estándares que describen los formatos de los mensajes encriptados, llaves y firmas
digitales.
SSL
SSL (Secure Sockets Layer). El Nivel de Conexiones Seguras, es un protocolo
criptográfico de propósito general para asegurar canales de comunicación
bidireccionales.
SSL ofrece confidencialidad mediante algoritmos de encriptación especificados por
el usuario; integridad, mediante funciones Hash criptográficas especificadas por el
usuario, y no repudiación, mediante mensajes firmados criptográficamente.
SEGURIDAD EN EL WEB
PCT
PCT (Private Comunications Technology). Tecnología de Comunicaciones Seguras,
es un protocolo de seguridad de nivel de transporte similar a SSL. Fue desarrollado
en respuesta a los problemas asociados a SSL 2.0.
S-HTTP
S-HTTP es un sistema para firmar y encriptar información enviada mediante el
protocolo HTTP del Web.
SET
SET (Secure Electronic Transactions). Transacciones Electrónicas Seguras, es un
protocolo criptográfico diseñado para envío de números de tarjetas de crédito por
Internet.
SEGURIDAD EN EL WEB
Cyber cash
Cyber Cash (Ciber efectivo) es un protocolo de pagos electrónicos de propósito
similar al de SET.
DNSSEC
DNSSEC (Domain Name System Security). El estándar de seguridad del Sistema
de Nombres de Dominios crea una infraestructura paralela de llaves públicas sobre
el sistema de DNS. A cada dominio del DNS se le asigna una llave pública .
IPsec e IPv6
IPsec es un protocolo criptográfico diseñado para proporcionar confidencialidad
de principio a fin. IPv6 incluye Ipsec.
SEGURIDAD EN EL WEB
KERBEROS
Kerberos se basa en códigos simétricos y en secretos compartidos entre el servidor
de Kerberos y cada usuario, quien tiene su propia clave de acceso.
Para operar un sistema con Kerberos, cada sitio debe tener un servidor de Kerberos
que se encuentre físicamente seguro.
SSH
SSH (secure shell) es el interprete de comandos seguros. Proporciona operaciones
protegidas de terminal virtual (Telnet) y transferencia de archivos (ftp).
SEGURIDAD EN EL WEB
COMPARACION ENTRE LOS SISTEMAS ACTUALES

Sistema ¿Qué es? Algoritmos Proporciona
PGP Aplicación para encriptar IDEA, RSA, MD5 Confidencialidad,
correo electrónico. autenticación, integridad, no
repudiación.
SSL Protocolo para encriptar RSA, RCZ, RC4, MD5, y otros. Confidencialidad,
transmisiones TCP/IP. autenticación, integridad, no
repudiación.
PCT Protocolo para encriptar RSA, MD5, RCZ, RC4, y otros. Confidencialidad,
transmisiones TCP/IP. autenticación, integridad, no
repudiación.
S-http Protocolo para encriptar RSA, DES, Y otros. Confidencialidad,
peticiones y respuestas http. autenticación, integridad, no
repudiación;
SET y CyberCash Protocolos para el envío de RSA, MD5, RC2. Confidencialidad de números de
instrucciones de pago seguras a tarjeta de crédito, integridad de todo
el mensaje, autenticación del cliente y
través de Internet. proveedor; no repudiación de las
transacciones.
DNSSEC Seguridad del sistema de RSA, MD5. Autenticación, integridad.

Nombres de Dominios.
IPsec e IPv6 Protocolo de bajo nivel para Diffie-Helmann y otros. Confidencialidad (opcional),
encriptar paquetes IP. autenticación, integridad.
Kerberos Servicio de seguridad de red para DES. Confidencialidad,

asegurar aplicaciones de más alto autenticación.
nivel.
SSH Terminal remota encriptada. RSA, Diffie-Helmann, DES, Confidencialidad,

Triple-DES, Blowfish. autenticación.
SEGURIDAD EN EL WEB
CORTAFUEGOS (FIREWALLS)
Un Cortafuego en Internet es un sistema que impone una política de seguridad
entre la organización de red privada y el Internet.
Una política de seguridad completa incluye:
 Publicaciones donde se informe a los usuarios de sus obligaciones.

 Normas de acceso a la red.
 Política de servicios en la red.
 Política de autenticidad en acceso remoto.
 Reglas de encriptación de datos y discos.
 Normas de protección de virus
SEGURIDAD EN EL WEB
TIPOS DE CORTAFUEGOS
 Filtros de Paquetes.
 Gateways a Nivel de Aplicación.
 Cortafuegos Híbridos.
 Cortafuegos basados en un host Bastión.
 Cortafuegos Basados en Redes
SEGURIDAD EN EL WEB
FILTROS DE PAQUETES
Un cortafuegos de filtrado de paquetes ofrece un control básico de
acceso a la red basado en los paquetes IP.
Cuando los paquetes llegan al cortafuegos, la información se

compara con un conjunto de reglas de filtrado, que especifican las
condiciones según las cuales se autoriza o niega su acceso a la red.
La mayoría de cortafuegos actuantes como filtros de paquetes son

routers
SEGURIDAD EN EL WEB
GATEWAYS A NIVEL DE APLICACION

Los gateways a nivel de aplicación impiden el paso directo de los paquetes de
una red a otra, más bien, obligan a que la conexión original se haga a una
aplicación específica, conocida como proxy.
Gateways a Nivel de Aplicación
Nivel de
aplicacion
Proxy Proxy
Paquetes
Red 1 Rut Red 3
a
Nivel de kernel
Diagrama de flujo de una sesión de un gateway a

Red 2
nivel de aplicación.
Gateways a nivel de aplicación

SEGURIDAD EN EL WEB
GATEWAYS A NIVEL DE APLICACION

Esta aplicación proxy decide si debe o no establecer, en representación del host
origen, una conexión con el host destino solicitado.
Este tipo de retransmisión de paquetes que efectúa el proxy ayuda a impedir
algunos ataques a nivel de aplicación como el conocido ataque por sobreflujo de
buffer.
Una de las limitaciones de un cortafuego basado en un gateway a nivel de
aplicación es que precisa de una aplicación individual para cada servicio de red.
Un cortafuego de este tipo necesita programas individuales para Telnet, para
correo electrónico, para el World Wide Web o para cualquier otro servicio que
soporte el sistema.
Además, existe un límite en cuanto al número de aplicaciones activas que puede
soportar un computador, lo que restringe el número total de conexiones
simultáneas que puede proporcionar el cortafuegos.
SEGURIDAD EN EL WEB
CORTAFUEGOS HIBRIDOS
un sistema de cortafuegos híbrido incluye un filtro de paquetes y
un gateway a nivel de aplicación.
En una configuración híbrida los paquetes recibidos son
sometidos en primer lugar a las decisiones de filtrado del filtro de
paquetes.
Luego los paquetes pueden desecharse, hacerse pasar a través del
Kernel hacia su destino previsto o enviarse a un proxy.
Un cortafuego híbrido es la mejor solución para una Intranet que
necesita la seguridad que ofrece un gateway a nivel de aplicación
para ciertos servicios y la velocidad y flexibilidad de un filtro de
paquetes para otros tipos de servicios.
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN UN HOST BASTION
La arquitectura basada en host bastión consiste en un host configurado

para resistir los ataques procedentes del exterior.
Cortafuegos basados en un host Bastión
Router
Host bastión
"Extrangulador" Router
Interno Externo
Red Interna Red Externa
Red de perímetro
"Subred tamizada"
Arquitectura de host bastión de residencia única.
Cortafuegos basados en un host bastión

SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN UN HOST BASTION

Host bastión de residencia única.
Solo hay una conexión de red conectada a lo que se conoce como red
de perímetro.
El servicio de cortafuegos lo proporciona una combinación de los
dos routers de filtrado y el host bastión.
El router exterior filtra los servicios no soportados por la red interna
o por el host bastión.
El router interno limita todos los servicios no soportados por la red
interna.
El host bastión proporciona a los usuarios los distintos servicios.
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN REDES

Se diferencia por estar situado en la red de un proveedor de servicios de Internet
y por su capacidad para servir a múltiples clientes.
Cortafuegos Basados en Redes
Cliente 1
Intranet Cortafuegos
Intranet
Cliente 2 Router Router

Intranet
Intranet del proveedor
de servicios
Cortafuegos Basados en una Red.

SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN REDES

Estos cortafuegos tienen que superar dos obstáculos principales.
El primero es la velocidad debido a que el cortafuegos de red habrá

de gestionar el tráfico de múltiples intranets, deberá soportar un
elevado rendimiento total de procesamiento.
El segundo es impedir que cualquier router situado entre el cliente y

el cortafuegos pueda evitar el cortafuegos y permitir el acceso
incontrolado a la intranet de otro cliente.
SEGURIDAD EN EL WEB
CORTAFUEGOS EN REDES PRIVADAS VITUALES

Algunos cortafuegos permiten cifrar todas las comunicaciones, o
algunas de ellas, entre dos o más sitios.
Esta característica, conocida como red virtual privada (VPN), precisa

que haya un convenio entre los cortafuegos para cifrar o descifrar los
paquetes a medida que se envían y reciben.
En el caso de haber un gran número de sitios, tal vez sea necesario
un sistema de gestión de claves de encriptación para distribuir
automáticamente las nuevas claves de encriptación a medida que se
necesitan.
VIRTUAL PRIVATE
NETWORKS
REDES PRIVADAS VIRTUALES (VPNs)
Definición de VPN.
Tecnología de túneles.
Protocolo IPsec.
Protocolos ESP y AH.
Áreas en las que se presentan las VPNs.
Componentes de las VPNs.
Beneficios para su organización.
Seguridad en las VPNs.
Arquitecturas VPN.
Comparación de desempeño entre las diferentes arquitecturas.
Ejemplos de Aplicación.
REDES PRIVADAS VIRTUALES
DEFINICION DE VPN
Una Red Privada Virtual o VPN (VIRTUAL PRIVATE NETWORKS) es una extensión
de una red privada que permite enlaces a través de redes públicas o compartidas tal como
Internet, permitiendo enviar datos entre dos computadores emulando un enlace privado
punto a punto.
Conexión VPN
Red pública o compartida
Equivalente lógico de una

VPN.
Equivalente lógico
DEFINICION DE VPN
Para emular un enlace punto a punto, la data es encapsulada con una cabecera que
proporciona información de ruteo que permite a la data atravesar la red pública
hasta alcanzar su destino final. Los paquetes que son interceptados en la red pública
o privada son indescifrables sin las llaves de encriptación.
Conexión VPN
Red pública o compartida
Equivalente lógico de una

VPN.
Equivalente lógico
TECNOLOGIAS DE TUNELES
 PPTP (Point to Point Tunneling Protocol). CAPA2
 L2TP (Layer 2 Tunneling Protocol). CAPA2

 IPSec (Internet Protocol Security). CAPA3
PPTP
Es una combinación del Protocolo punto a punto (PPP) y del protocolo de
control de transmisión/protocolo Internet (TCP/IP).
PPTP puede tomar paquetes IP, IPX, NetBios y SNA, y envolverlos en un nuevo
paquete IP para transportarlos.
Utiliza cifrado para los datos encapsulados y proporciona autenticación.
Los protocolos empleados para autenticación son el PAP y el CHAP.
PPTP
PPTP consiste en tres tipos de comunicaciones:

1. Conexión PPTP. Es justo en donde un cliente establece un
PPP o un enlace con su ISP.
2. Conexión de control PPTP. Al usar Internet, un usuario

crea una conexión PPTP con el servidor RPV y establece
las características del túnel PPTP.
3. Túnel de datos PPTP. El cliente y el servidor envían

comunicaciones entre sí dentro del túnel cifrado.
L2TP
L2TP es el protocolo para el establecimiento de túneles de nivel 2.
Combina a los protocolos PPTP y L2F en una sola norma.
L2TP utiliza 2 funciones:
1. Función de línea tipo cliente conocida como LAC, que es un
concentrador de acceso L2TP.
2. Función de servidor de red del lado servidor llamada LNS.
LAC agrega los distintos encabezados a la carga PPP y establece el túnel al dispositivo
de terminación LNS, que puede ser un enrutador o un servidor.
L2TP es un protocolo diseñado para encapsular en el nivel 2.
PROTOCOLO IPsec
IPsec se divide en 2 tipos de transformaciones de datos para la seguridad de los
paquetes IP:
Encabezado de Autenticación: AH (AUTHENTICATION HEADER) y la
Carga de Seguridad Encapsulada: ESP (ENCAPSULATING SECURITY
PAYLOAD)
PROTOCOLO IPsec
IPsec establece que antes de que ocurra cualquier

comunicación, se negocie una Asociación de Seguridad (SA)
entre los 2 nodos o compuertas de la RPV.
La asociación de seguridad establece toda la información
necesaria para asegurar las comunicaciones entre los 2
dispositivos.
La SA verifica el cifrado de punto terminal y los protocolos de
autenticación.
La SA se identifica por un número de 32 bits llamado Índice
de Parámetros de seguridad (SPI)
MODOS PARA AH Y ESP
AH EN MODO TRANSPORTE. Se inserta después del

encabezado IP original y protege a los protocolos de nivel superior.
AH EN MODO TÚNEL. Se inserta antes del encabezado original
y se introduce un nuevo encabezado IP.
ESP EN MODO TRANSPORTE. Protege a los protocolos de
niveles superiores.
ESP EN MODO TÚNEL. Igual que AH en modo túnel.
PROTOCOLO ESP
La norma de Carga con Seguridad de Encapsulamiento (ESP)
proporciona confidencialidad, autenticación e integridad de los
datos.
ESP (ENCAPSULATING SECURITY PAYLOAD)

1 8 16 24 31
Indice de parámetros de seguridad (SPI)
Número de secuencia
Carga útil de datos (variable)
Relleno (0-255 bytes)
Longitud del relleno Siguiente cabecera
Datos de autenticación (variable)

PROTOCOLO ESP
Antes de aplicar ESP
IPv4 Encabezado IP
TCP Datos
original
ESP EN MODO
Después de aplicar ESP
TRANSPORTE
Encabezado IP ESP ESP ESP
IPv4 TCP Datos
original Hdr Trailer Auth
PARA IPv4 e Encriptado
IPv6 Autenticado
Antes de aplicar ESP
IPv6 Encabezado IP Cabeceras de

TCP Datos
original extensión
Después de aplicar ESP
Salto por salto

Encabezado IP Dest ESP ESP
IPv6 enrutador, ESP TCP Datos
original opcional Trailer Auth
fragmentación
Encriptado
Autenticado
PROTOCOLO ESP
ESP EN MODO TUNEL PARA IPv4 e IPv6
Encabezado Encabezado
ESP ESP
IPv4 IP ESP IP TCP Datos
Trailer Auth
nuevo original
Autenticado
Encriptado
IPv6 Encabezado Cabeceras Cabeceras

Encabezado ESP ESP
IP Extensión ESP Extensión TCP Datos
IP nuevo Trailer Auth
nuevo nuevas originales
Autenticado
Encriptado
PROTOCOLO AH
El Encabezado de Autenticación (AH) proporciona integridad de datos y
autenticación del origen de los datos.
AH (AUTHENTICATION HEADER)
1 8 24 31
Siguiente cabecera Longitud de carga útil Reservado
Indice de parámetros de seguridad (SPI)
Número de secuencia
Datos de autenticación
PROTOCOLO AH
Antes de aplicar AH
Encabezado IP
TCP Datos
IPv4 original
AH EN MODO
Después de aplicar AH
TRANSPORTE
Encabezado IP
IPv4 AH TCP Datos
original
PARA IPv4 e Autenticado
IPv6
Antes de aplicar AH
Encabezado IP Cabeceras
TCP Datos
IPv6 original de extensión
Después de aplicar AH
Salto por salto

Encabezado IP Dest
IPv6 enrutador, AH TCP Datos
original opcional
fragmentación
Autenticado
PROTOCOLO AH
AH EN MODO TUNEL PARA IPv4 e IPv6
Encabezado Encabezado
IPv4 IP AH IP TCP Datos
nuevo original
Autenticado
Encabezado Cabeceras Cabeceras

Encabezado
IPv6 IP de AH de TCP Datos
IP nuevo
nuevo Extensión Extensión
Autenticado
AREAS EN LAS QUE SE PRESENTAN LAS VPNs
 INTRANET.
 ACCESO REMOTO.
 EXTRANET.
 RPV INTERNA.
RPV DE INTRANET
Una RPV de Intranet se crea entre la oficina central corporativa y las oficinas de
ventas remota. Se tiene acceso a la Intranet desde fuera de la red, es decir, que el
acceso viene desde el exterior.
Oficinas
centrales
OFICINA DE
Internet VENTAS
REMOTA
OFICINA DE
VENTAS
REMOTA OFICINA DE
VENTAS
REMOTA
RPV de Intranet
RPV DE ACCESO REMOTO

Una RPV de acceso remoto se crea entre las oficinas centrales y los usuarios
móviles remotos. Con el software de cifrado cargado en una laptop, un individuo
establecerá un túnel cifrado al dispositivo de las RPV en las oficinas centrales
corporativas.
Oficinas
centrales
Internet
PSI MÓVIL
OFICINA DE
VENTAS
REMOTA
MÓVIL
RPV de Acceso Remoto.

RPV DE EXTRANET
Una RPV de extranet se crea entre la empresa y sus clientes o proveedores. Esta
configuración le dará a la empresa la capacidad para realizar transacciones de manera segura
y efectiva con sus principales socios comerciales y clientes. Aquí es donde el comercio
electrónico tiene su mayor impacto.
Oficinas
centrales
Internet
Nueva York
PROVEEDOR
Fort Lauderdale
RPV de Extranet
RPV INTERNA
Una cuarta área de la que no hacen uso las compañías actualmente, es una RPV interna. ¿Qué
motivos hará que una compañía utilice una RPV interna? Algunos de estos motivos son los
estudios sobre seguridad que indican que los ataques por empleados internos ocupan el primer
lugar.
NUBE
Laptop
DE RPV
INTERNA
Servidor Equipo
de escritorio
Ethernet Servidor
Laptop
Ethernet
Concentrador
Laptop
Laptop Servidor
RPV Interna
COMPONENTES QUE FORMAN UNA

RPV
 Disponibilidad.
 Compatibilidad.
 Seguridad.
 Interoperabilidad.
 Auntenticación de datos y usuarios.
 Sobrecarga de tráfico.
 Mantenimiento.
BENEFICIOS PARA SU ORGANIZACION
 Acceso remoto de usuarios.

 Aplicaciones de extranet.
 Base de usuarios geográficamente diversa.
 Sitios internacionales.
 Expansión barata del mercado.
 Requisitos razonables de ancho de banda.
 Acceso a servicios externos.
 Líneas rentadas virtuales.
SEGURIDAD EN LAS VPNs

La tecnología RPV esta implementada en los niveles más bajos posibles de la pila de OSI.
Esto crea un beneficio y un problema potencial. Tener esta tecnología tan abajo como sea
posible en la pila ayuda a eliminar muchos de los ataques que podrían suceder si estuviese
más arriba, pero puede provocar problemas de compatibilidad.
Ataques a nivel
APLICACION APLICACION
de aplicación
PRESENTACION PRESENTACION
SESION SESION
TRANSPORTE TRANSPORTE
Ataques a nivel
RED RED
de red
ENLACE DE Ataques a nivel de ENLACE DE
DATOS enlace de datos DATOS
FISICA FISICA
Soluciones RPV
Tecnología RPV en la pila OSI

ARQUITECTURAS RPV
 RPV proporcionada por un ISP.
 RPV basadas en cortafuego.
 RPV basadas en caja negra.
 RPV basadas en enrutador.
 RPV basadas en acceso remoto.
 RPV de múltiples servicios.

RPV PROPORCIONADA POR UN ISP

El proveedor de servicios de red establece un dispositivo en las oficinas de su compañía que
crea el túnel de RPV para usted.
Algunos ISP pueden instalar un conmutador PPTP frontal en sus oficinas el cual creará en
forma automática los túneles de RPV para su tráfico. También podría agregar un cortafuego
justo en frente de un dispositivo de red o entre ellos.
Oficina del
cliente
Red
Responsabilidad
interna del ISP
INTERNET
Enrutador Dispositivo
interno de red
ETHERNET ISP
RPV proporcionada por un ISP

RPV BASADAS EN CORTAFUEGOS

Las RPV basadas en cortafuego son la formas más comunes de implementación de RPV
hoy en día. De la misma manera que la tecnología RPV en si misma se ejecuta en los
niveles más bajos de la pila de OSI, el cortafuego debe hacerlo o puede caer en problemas
de desempeño importantes.
UNIX
NT
LINUX
INTERNET
Enrutador
Cortafuego/RPV
interno
ETHERNET
RPV basada en cortafuegos

RPV BASADAS EN CAJAS NEGRAS

Se trata básicamente de un dispositivo cargado con software de cifrado para crear un túnel
de RPV. Estos tipos de dispositivo de cifrado de hardware son más veloces que los tipos de
software, debido a que crean túneles más rápidos bajo demanda y ejecutan el proceso de
cifrado con mayor rapidez.
RPV de Caja Negra.

RPV BASADAS EN ENRUTADOR

Existen dos dispositivos de RPV basados en enrutadores. En uno de ellos el software se
añade al enrutador para permitir el proceso de cifrado. En el segundo método se inserta una
tarjeta externa de otro proveedor en el mismo chasis del enrutador. El desempeño puede ser
un problema debido a la adición de un proceso de cifrado al proceso de enrutamiento.
Túneles de RPV seguros

PPTP / IPSec / L2TP SUCURSAL
Servidor de autentificación
de usuarios
INTERNET
Enrutador de
RPV
ETHERNET
iMac
Mac
RPV basada en enrutador.

RPV BASADAS EN ACCESO REMOTO

Software que se ejecuta en las máquinas de los usuarios remotos, las cuales están tratando
de crear un túnel hacia su organización y un dispositivo en su red que permita esa
conexión. Este túnel podría venir de Internet, de una línea de marcación, de una línea
ISDN o una red X.25.
Software de
establecimiento
Mac
de túneles
DSL / Cable
Mac
Software de
establecimiento
de túneles
Servidor de autentificación
de usuarios
INTERNET
Servidor de
autentificación de
Dispositivo de
usuarios
red Cortafuego /
ETHERNET
Servidor de
autentificación
iMac
Software de
Software de establecimiento
establecimiento
iMa
de túneles
de túneles
RPV basadas en Acceso Remoto

RPV DE MULTIPLES SERVICIOS

Algunas de las aplicaciones de múltiples servicios para RPV son la filtración de contenido
Web y la revisión antivirus. El tráfico que llega a la organización se analiza primero por el
software antivirus que se esta ejecutando en el dispositivo de cortafuego/RPV o por un
servidor ubicado en la zona DMZ.
Tráfico
Tráfico interno Tráfico
Tráfico
DMZ
Protección contra
virus
RPV de múltiples servicios.

REDES PRIVADAS VIRTUALES COMPARACION DE DESEMPEÑO
Arquitectura de RPV. Ventajas. Desventajas.
Hardware Buen desempeño; buena seguridad; carga de Flexibilidad limitada; precio alto; sin interfaces
cifrado mínima para paquetes grandes; un poco de ATM, FDI o Token Ring; la mayoría son
soporte para balanceo de cargas. semiduplex; se necesita reiniciar para que los
cambios tengan efecto; algunos tienen problemas
de desmpeño importantes con paquetes pequeños
(64 bytes); funcionalidad de subred limitada;
algunos carece de NAT.
Software Amplia variedad de plataformas; facilidad de Problemas de desempeño con el soporte NAT;
instalación; buena para una amplia gama de algunos tienen tecnologías de cifrado viejas;
compañías. propietario; algunos carecen de capacidad de
administración remota; sin capacidad de
supervisión.
Enrutador Uso del hardware existente; seguridad solidad Algunos pueden necesitar tarjetas de cifrado
disponible; bajo costo si se utilizan los enrutadores adicionales; problemas de desempeño; pueden
existentes. requerir una actualización a un enrutador más
potente.
Cortafuego Amplia variedad de plataformas; uso del hardware Posibles problemas de seguridad debido al sistema
existente; soporte para balance de cargas y operativo; no todos son completamente
cortafuegos redundantes; IPSec de bajo costo. interoperables con soporte RADIOUS; algunos
tienen problemas de licencias.
Marcación Fácil establecimiento de RPV; el costo es bajo. Problemas con compresión de datos cifrados; el
soporte para RADIOUS es mínimo.
REDES PRIVADAS VIRTUALES EJEMPLO DE APLICACION
COMERCIO ELECTRÓNICO ENTRE SOLECSA

(ECUADOR) E INDURA (CHILE) A TRAVÉS DE VPNs.
SITUACIÓN ACTUAL:
APLICACIÓN CONTABLE:
FLEX
FORMA DE COMERCIO ENTRE SOLECSA E
INDURA CHILE:
FORMA TRADICIONAL (E-MAIL)
SISTEMA DE MENSAJERÍA:
OUTLOOK 97 STANDARD EDITION.
PROCESO DE COMPRA Y VENTA: FORMA TRADICIONAL
PROCESO DE COMPRA Y VENTA - FORMA TRADICIONAL

MAIL SRV APLIC. CONT.
PROVEEDOR
FLEX SRV
SANTIAGO DE CHILE
MAIL SRV
CLIENTE Internet
C
GUAYAQUIL - ECUADOR
Proceso de compra y venta: Forma Tradicional

PROCESO DE COMPRA Y VENTA: FORMA TRADICIONAL
PROBLEMAS ACTUALES:
Los datos son ingresados 1, 2 Y hasta 3 veces, esto es debido a que el sistema
de solecsa no es compatible para recibir transacciones desde el sistema indura
chile.
No existe funcionalidad que garantice autenticidad e integridad entre los 2
sistemas.
Los usuarios se autentifican primero al sistema de mensajería y luego
nuevamente a la aplicación contable flex.
Los errores cometidos por uno de los dos lados debe esperar a ser detectados
por el otro, luego esperar que el otro lado notifique a los primeros, y
finalmente esperar a que los primeros detecten y corrijan el error para luego
recién enviar la transacción corregida vía e-mail.
SITUACIÓN DESPUES DE IMPLEMENTAR

SOLUCIÓN DE E-COMMERCE.
APLICACIÓN CONTABLE:
SAP
FORMA DE COMERCIO ELECTRÓNICO ENTRE
SOLECSA E INDURA:
SAP
SISTEMA DE MENSAJERÍA:
NO INDISPENSABLE.
E-COMMERCE CON UN ENLACE DEDICADO
SAP SRV
PROVEEDOR
SAP SRV
SANTIAGO DE CHILE
CLIENTE
GUAYAQUIL - ECUADOR
Comercio Electrónico con un enlace dedicado


PROBLEMAS RESUELTOS:
Los datos son ingresados una sola vez al sistema, y pueden ser accesados
instantáneamente por el siguiente participante del proceso sin importar si este es
de la empresa que compra o de la empresa que vende.
Los usuarios se autentifican una sola vez al sistema y relegan el sistema de
mensajería para casos especiales, debido que con el sistema de comercio
electrónico tienen toda la información que necesitan en línea.
Los errores humanos se reducen, entonces un mayor número de datos puede ser
depurados y comparados automáticamente con el otro lado de la transacción.
Los errores que no pueden ser detectados por el sistema, pueden ser corregidos
más rápido, debido a que pueden ser detectados instantáneamente por el otro
participante de la transacción.

COMPARACION DE COSTOS:
El costo de implementar un sistema SAP básico supera los USD 300.000 unas
20 veces más del valor del sistema que se está usando actualmente, pero esta
inversión si es aceptable cuando las perdidas por mala sistematización alcanzan
el USD 1´000.000 al año.
NUEVOS PROBLEMAS PRESENTES:

La mayoría de las soluciones de e-commerce terminadas y probadas trabajan
con tecnología EDI, esto implica que sus bloques de datos van a viajar en
forma llana (no encriptada); cuando se creó el EDI la preocupación principal
era que las transacciones fueran compatibles y legibles por cualquier sistema. El
hecho de que la data viaje de esta forma, hace necesario que el canal de
comunicación entre el comprador y el proveedor sea un canal dedicado punto a
punto.
E-COMMERCE A TRAVES DE VPN
VPN
SRV SAP SRV
CLIENTE
VPN
SAP SRV CLIENT SANTIAGO DE CHILE
CLIENTE Internet
B
GUAYAQUIL - ECUADOR
Comercio Electrónico a través de VPN

E-COMMERCE A TRAVES DE VPN

PROBLEMA RESUELTO:
La data puede viajar de forma segura a través de un enlace a Internet,
garantizando su confidencialidad e integridad.
El sistema de CA (autoridad certificadora) garantiza la autenticidad e integridad de
la transacción.
COMPARACIÓN DE COSTOS:
Al usar tecnología de VPN se reduce el costo debido a que un enlace de 256 kbps
punto a punto Solecsa (guayaquil) – Indura (santiago de chile) tiene un costo de
USD 2800,oo mensual con fibra más un costo de instalación de USD 2500,oo,
mientras que una conexión a Internet de 256 kbps tiene un costo de USD
1200,oo mensual más un costo de instalación de USD 400,oo. Y un equipo de
vpn de caja negra tiene un costo aproximado de USD 3 000,oo.
SITUACION ACTUAL DEL E-
COMMERCE EN EL
ECUADOR
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
El Internet es comercialización hacia el exterior, y, por eso, era

necesaria la concertación de la Ley de Comercio Electrónico.
Ecuador era uno de los pocos países de América que no contaba

con esa Ley esencial. En Bolivia, Perú, Colombia y Venezuela las
compañías pueden hacer ventas al exterior y cobrar a través de
tarjetas de crédito tomadas por Internet.
Ecuador necesita los mercados exteriores para llegar a una

economía de gran escala con sus industrias. Esa es la gran
oportunidad de Internet.
LEY DE REGULACION DEL COMERCIO

ELECTRONICO
El Consejo Nacional de Telecomunicaciones (CONATEL) ha promovido en su

página web un texto concerniente a la propuesta de ley sobre regulación del
comercio electrónico, el cual se describe a continuación en forma resumida:
TITULO PRELIMINAR.
PRINCIPIOS GENERALES.- Se refiere al ámbito de aplicación de esta ley
y la definición de varios términos.
TÍTULO II.
DE LAS FIRMAS ELECTRÓNICAS.- Enfoca los efectos de la firma
electrónica, requisitos, obligaciones, duración y revocación de firmas
electrónicas.

ELECTRONICO
CERTIFICADOS DE FIRMA ELCTRÓNICA.- Especifica los requisitos

de certificados, duración, extinción y revocación de los certificados de firma
electrónica, suspensión y reconocimiento de certificados de firma electrónica.
ENTIDADES DE CERTIFICACIÓN DE INFORMACIÓN.- Abarca
las obligaciones, responsabilidades, protección de datos, terminación y cesación
de actividades.
ORGANISMOS DE PROMOCIÓN DE LOS SERVICIOS
ELECTRÓNICOS Y DE REGULACIÓN Y CONTROL DE LAS
ENTIDADES DE CERTIFICACIÓN ACREDITADAS.- Detalla los
organismos encargados de la administración, sanciones, infracciones y
funciones de tales organismos.

ELECTRONICO
TÍTULO III
DE LOS SERVICIOS ELECTRÓNICOS.- Indica que las actividades
electrónicas que se realicen a través de redes de datos se someterán a los
requisitos y solemnidades en la ley que las rija.
DE LA CONTRATACIÓN ELECTRÓNICA Y TELEMÁTICA.-
Enfoca la validez de los contratos, recepción, aceptación y jurisdicción de los
contratos electrónicos.
DE LOS DERECHOS DE LOS USUARIOS O CONSUMIDORES DE
SERVICIOS ELECTRÓNICOS.- Señala la protección al usuario y la reserva
para el envío o la recepción de la información.
DE LOS INTRUMENTOS PÚBLICOS.- Reconoce la validez jurídica de
los instrumentos públicos, y el tipo de notificación de controversias.

ELECTRONICO
TÍTULO IV
DE LA PRUEBA Y NOTIFICACIONES ELECTRÓNICAS.- Se
considera a los mensajes, firmas y documentos electrónicos medios de prueba
válida, presunción de firmas electrónicas, pruebas como tal y valoración de las
pruebas presentadas.
TÍTULO V
DE LAS INFRACCIONES INFORMÁTICAS.- Reseña el Fraude
Informático, Daños Informáticos, Falsedad Informática, Intrusión Indebida a
los Sistemas Informáticos, Recopilación de Información No Autorizada,
Violaciones del Derecho de la Privacidad y el Robo Electrónico.
CONCLUSIONES Y
RECOMENDACIONES
Con el comercio electrónico y los negocios dirigidos a través
de Internet que aumentan cada vez más, es necesario establecer
un ambiente seguro de comunicación.
Las distintas infraestructuras de redes y los diferentes
requisitos organizacionales de seguridad exigidos por estos
negocios necesitarán diversos tipos de arquitecturas VPNs.
Las VPNs satisfacen las más estrictas necesidades de seguridad;
son rápidas y sencillas. Las personas se acostumbrarán cada vez
más a Internet y exigirán que sus paquetes lleguen cifrados e
íntegros.
CONCLUSIONES Y
RECOMENDACIONES
La velocidad de esta información dependerá de su conducto de
ancho de banda de Internet y de los diversos ISP que deba
atravesar para llegar a ella.
 Por todo esto es necesario desarrollar de manera responsable
esta poderosa herramienta de seguridad, o cualquier otra que nos
dé las garantías que necesitamos, si queremos desenvolvernos de
manera eficiente en el mundo del comercio global.
MUCHAS GRACIAS
POR SU ATENCION

Ecomerce 1

Загружено:

Сведения о документе

Оригинальное название

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

Ecomerce 1

Загружено:

Авторское право:

Доступные форматы

SEGURIDAD EN EL COMERCIO

¿QUÉ ES EL COMERCIO ELECTRONICO?

Es cualquier forma de transacción comercial basada en la

No se limita a comprar y vender, sino a todos los

¿QUÉ ES EL COMERCIO ELECTRONICO?

Las empresas, aunque estén físicamente alejadas de sus

Bajo la denominación de comercio electrónico se incluye

¿QUÉ ES ELCOMERCIO ELECTRONICO?

La aparición del comercio electrónico obliga a

 La validez legal de las transacciones y contratos

¿QUÉ ES ELCOMERCIO ELECTRONICO?

Hasta otros provocados por:

TIPOS DE COMERCIO ELECTRONICO

SISTEMAS DE PAGOS DIGITALES

Una transacción común de tarjeta de crédito involucra

SISTEMAS DE PAGOS DIGITALES

1) El cliente entrega su tarjeta de crédito al comerciante.

SISTEMAS DE PAGOS DIGITALES

Las tarjetas de crédito fueron una opción obvia para los

Existen 3 técnicas distintas para aceptar números de

1) Fuera de línea (Off line).

SISTEMAS DE PAGO BASADOS EN INTERNET

Anónimos: es matemáticamente imposible que un comerciante o

Privados: el comerciante no conoce la identidad del consumidor,

Identificatorios: Los sistemas de pago pueden identificar al

SISTEMAS DE PAGO BASADOS EN INTERNET

SISTEMAS DE PAGO BASADOS EN INTERNET

CYBERCASH / CYBER COIN.

Para utilizar CyberCash, el consumidor debe descargar un

SISTEMAS DE PAGO DIGITALES

Pueden almacenar una cantidad de información mucho mayor que

Las tarjetas inteligentes pueden protegerse mediante una clave de

Las tarjetas inteligentes pueden ejecutar motores de encriptación

PROTOCOLO PARA TRANSACCIONES

SET (Secure Electronics Transaction) es el protocolo para

Permitir la transmisión confidencial.

PROTOCOLO PARA TRANSACCIONES

SET utiliza encriptación para brindar confidencialidad en la

Con SET, se pide a los comerciantes certificados digitales

SET permite incluir información privada entre el consumidor

El campo del comerciante se encripta con la llave pública

La firma dual permite tanto al comerciante como al

PROBLEMAS QUE SE SUSCITAN CON EL

Problemas legales de las direcciones IP y DNS.

La Ley de Derechos de Autor.

Infracción de Derecho de Autor.

Piratería de Software y la SPA.

La Ley de patentes.

Por ejemplo, he aquí un mensaje que tal vez debe enviar:

Este podría ser el mensaje una vez encriptado:

Aún mejor mediante la criptografía es posible volver a convertir

Proceso mediante el cual el mensaje llano se transforma en un mensaje

Proceso inverso, en el cual el texto cifrado se convierte nuevamente en

 Algoritmos de llaves simétricas o de llaves

 DES (Data Encription Standard)

 IDEA (International Data Encription Algoritmh)

ALGORITMOS DE LLAVES PUBLICAS

En este tipo de algoritmos se utiliza una llave para encriptar el

Una función de compendio de mensajes (message digest) genera

FUNCIONES DE COMPENDIO DE MENSAJES

Función de compendio de mensajes

FUNCIONES DE COMPENDIO DE MENSAJES

Entre las funciones más importantes tenemos: