Ensayo de La Criptografía

Descargar como pdf o txt
Descargar como pdf o txt
Está en la página 1de 8

Nombre- Víctor Montero Ramírez

Matrícula -19-4929
Tema- la criptografía
Materia- Seguridad informática
Profesor Juan José Diaz Nerio

Lección 1. Historia de la criptografía y su desarrollo en Europa

Hoy en día, la criptografía está muy presente en nuestro mundo. Así, acciones tan
cotidianas como hacer, o recibir, una llamada desde un teléfono móvil, pagar con una
tarjeta de crédito o débito, sacar dinero de un cajero, conectarnos a un ordenador
introduciendo una contraseña, etc., hacen uso de técnicas que se aposentan en esta
ciencia.

La escritura es, en opinión de muchos, el invento más importante de la humanidad. La


escritura permite dejar constancia de hechos, opiniones, ideas, etc., salvando Guión
intypedia001es 2 distancias temporales o espaciales. De este modo, permite el progreso
del conocimiento y el avance de la civilización. Sin embargo, tras la generalización y
desarrollo de la escritura, se constató los peligros que conlleva su lectura por personas
ajenas, ideándose los primeros sistemas de protección de lo escrito.

Históricamente tenemos que remontarnos a Esparta donde se diseña, hacia el siglo V a.


C., el primer método sistemático de cifrado. Este consistía en un bastón sobre el que se
enrollaba en espiral, a modo de venda, una estrecha cinta de cuero. Tras ello, se escribía
a lo largo del bastón el mensaje. Al desenrollar la cinta sólo se apreciaba una larga ristra
de letras sin sentido, que sólo se recobraba tras volver a enrollar la cinta sobre un
bastón de igual diámetro que el primero. Ese diámetro era la clave.

1. MÉTODOS DE CIFRA MONOALFABÉTICA

El método conocido como escítala lacedemonia, era usado para comunicaciones entre
responsables del gobierno de Esparta y sus generales. No obstante, debemos esperar
aún unos siglos para encontrar el método más popular de la Antigüedad Clásica: el
método César. Conocido así por ser utilizado por Julio César. Consistía en sustituir cada
letra del escrito (sin cambiar su lugar en el mismo) por aquella situada tres posiciones
por delante en el alfabeto. Es decir, cambiar todas las aes por des, todas las bes por es,
etc., hasta llegar al final del alfabeto donde la “x”, “y” y “z” se cambian respectivamente
por la “a”, “b” y “c”. Estos métodos, la escítala y el César, ilustran los dos grandes
grupos de métodos de cifrado existentes: transposición y sustitución. Mediante las
técnicas de transposición las letras del texto en claro intercambian sus posiciones
según un cierto patrón, de modo que en el texto cifrado aparecen las mismas letras pero
con sus posiciones permutadas. Los métodos que siguen este esquema se denominan
de transposición o permutación y un ejemplo es la escítala lacedemonia que hemos visto

2. . USO EXTENDIDO DE LA CRIPTOGRAFÍA

la consolidación de la escritura secreta fue un instrumento imprescindible de poder en la


creación de los estados modernos, la comunicación entre ejércitos y la presencia de
embajadas permanentes.

Se crearon los secretarios de cifra, responsables del cifrado de la correspondencia


entre Reyes, ministros y embajadores, así como de criptoanalista la correspondencia
intervenida de otros estados. Por ejemplo, en España, el primer Secretario de Cifra
conocido es Pérez de Almazán nombrado por los Reyes Católicos. Pero es Felipe II quien
renueva y da un gran impulso a las técnicas de cifrado, poniéndolas bajo la
responsabilidad del Secretario de Cifra D. Luis Valle de la Cerda. Establece la Cifra
General (para la comunicación entre él mismo, sus Secretarios, sus Embajadores y altos
militares) y la Cifra Particular, para las comunicaciones más confidenciales entre él y
alguno de los anteriores dignatarios. Además, por seguridad, cambia frecuentemente
todas estas cifras.

Lección 2. Sistemas de cifra con clave secreta

ANALOGÍA DE LA CRIPTOGRAFÍA CON LOS CANDADOS Todos nos preguntaremos si


cuando vamos a enviar un mensaje lo leen otras personas que no queremos o no. Pues
bien, aqui van unos ejemplos: Imaginaros que tenemos un sobre con una carta con un
contenido secreto que quieres enviárselo a un amigo. nOs preguntarems qué hacer para
que no lo lean otras personas no? Pues sencillamente vale con una caja a prueba de
robo, que se cerrará con un candado y tendrá una combinación que solo tú y tu amigo
sabra. ¿Todavia piensa que no la pueden abrir? el candado usa una combinación de 8
dígitos. Eso significa que existen 10 elevado a la 8 combinaciones posibles, o lo que es
lo mismo, 1 seguido de 8 ceros, o sea, 100 millones de combinaciones. Por lo tanto
tardarían más de 10 años en probar todas las combinaciones. Así que este método es
seguro.
Lección 3. Sistemas de cifra con clave pública

. LA CRIPTOGRAFÍA DE CLAVE PÚBLICA

Es una analogía que nos ayuda a comprender cómo funcionan los algoritmos de cifrado
de clave pública. Se dispone de dos claves: una es pública y por tanto conocida por todo
el mundo y la otra es privada y conocida solamente por su poseedor. Aunque cualquiera
puede cifrar usando la clave pública, sólo el que posee la correspondiente clave privada
podrá descifra. En este tipo de criptografía se utiliza una pareja de claves: una para cifrar
y otra para descifrar. La clave pública debe ser conocida por todo el mundo, lo que
facilita su distribución.

Una vez que alguien conoce tu clave pública, puede enviarte mensajes cifrados con la
seguridad de que nadie más que tú podrá descifrarlos, porque sólo tú posees la clave
privada correspondiente a esa clave pública. Eso sí, la clave privada es muy importante
que la mantengas en privado y sólo tú la conozcas. Nadie más.

Si cifras un mensaje con la clave pública no podrás descifrarlo usando esa misma

clave pública. Necesitarás usar la clave privada. Lo que cifras con una clave, debes

descifrarlo con la otra. Es lo que en matemática discreta se conoce como inversos,

pero esos temas serán estudiados en otra lección.

Lección 4. Introducción a la seguridad en redes telemáticas

REDES TELEMÁTICAS.
DEFINICIONES Desde tiempos ancestrales el hombre ha necesitado superar sus
obstáculos de tiempo y espacio desarrollando mecanismos de comunicación cada vez
más precisos. Hoy en día, en pleno siglo XXI el uso de la telefonía móvil o de Internet es
un claro ejemplo de estos avances. Sin embargo, no siempre el usuario final tiene noción
de la complejidad de estas tecnologías y de los inconvenientes que acarrea usarlas de
forma incorrecta… Para adentrarse en estas tecnologías es necesario conocer la esencia
del funcionamiento de las redes de telecomunicación, y en nuestro caso concreto de las
redes de ordenadores y las comunicaciones entre ellas. Es por tanto interesante
centrarse en el caso de las redes telemáticas

RIESGOS Y PROTECCIONES EN LAS REDES TELEMÁTICAS

Hoy día las redes telemáticas se utilizan para comunicar no sólo a individuos sino que
tienen una gran utilidad en las comunicaciones empresariales, bancarias, estatales,
diplomáticas, militares, entre ciudadanos con la administración pública, etc. Mucha
información, en algunos casos sensible, circula por estas redes. Existe un riesgo real de
que personas no autorizadas intenten tener acceso ilegítimo a ella.

Las redes telemáticas presentan muchas vulnerabilidades y es necesario protegerlas. En


este sentido se define la seguridad en redes como todo aquel conjunto de técnicas que
tratan de minimizar la vulnerabilidad de los sistemas o los problemas derivados de
procesar la información en ellos contenida. Se trata de conseguir que el coste de la
consecución indebida de un recurso sea superior a su valor. Con esta idea en mente se
diseñan mecanismos de seguridad. Estos se utilizan para construir los protocolos
seguros que facilitarán la prestación de servicios de seguridad, es decir, los
mecanismos de seguridad son los “ladrillos” que permiten finalmente, gracias a los
servicios de seguridad, proteger las comunicaciones de los usuarios frente a los
distintos ataques.
Lección 5. Seguridad perimetral

1. FUNDAMENTOS DE LA SEGURIDAD PERIMETRAL. INTRODUCCIÓN A LOS


CORTAFUEGOS es típico separar servicios accesibles a través de Internet, como
puede ser la página Web de una empresa o su correo electrónico, del
funcionamiento de su red interna o intranet. En este sentido las DMZ son de gran
utilidad. Las DMZ generalmente se crean con un dispositivo llamado cortafuegos
o firewall. Esta tecnología está diseñada para filtrar tráfico tanto de entrada como
de salida. Si implantas este elemento y separas los servicios públicos de la red
interna, el mapa de una nueva arquitectura podría quedar así.

Lección 6. Malware

1. INTRODUCCIÓN AL MALWARE: CONCEPTOS

Malware es un término genérico para referirse a cualquier tipo de software malicioso


o molesto que se instala en los sistemas, también se caracterizan porque llevan a
cabo acciones no deseadas sin el consentimiento del usuario. Los virus informáticos
son en realidad un subtipo dentro de la gran familia del malware, al igual que otros
especímenes como son los gusanos, troyanos, adware, keyloggers, dialers, etc.

Qué diferencias hay entre ellos?

Los virus informáticos tienen la capacidad de adjuntarse o incrustarse en otro


software, es decir, se auto replican infectando otros programas. De esta forma una
aplicación legítima, por ejemplo un juego de ordenador o un programa de
contabilidad, podría estar infectado por un virus si ha tenido contacto con él en un
sistema infectado. En el caso de los gusanos, no tienen esa capacidad de
introducirse e infectar a otros programas, y en su lugar se replican haciendo copias
de sí mismos. Por ejemplo, uno de los casos más conocidos fue el gusano
ILOVEYOU, que se replicaba enviando una copia de sí mismo por correo electrónico
simulando ser una carta de amor. Si alguien abría el fichero que contenía la supuesta
carta de amor, el gusano se ejecutaba y se auto enviaba de nuevo en un mensaje a
toda la lista de contactos de correo electrónico de ese usuario. Por otro lado, el
adware es todo aquel software que presenta publicidad no deseada ni consentida
por el usuario, los keyloggers son programas que permiten capturar las pulsaciones
de teclado de manera que actúan como espías de lo que el usuario infectado escriba
en su sistema, y los dialers realizan llamadas de tarificación adicional a través de un
módem, con el consecuente incremento en la factura telefónica de los usuarios
afectados. Una atención especial merece los troyanos por su difusión actual. Los
troyanos, a diferencia de los virus y los gusanos, no son capaces de infectar a otros
programas ni auto replicarse por sí mismos, y suelen presentarse como un programa
legítimo a la espera de que el usuario lo acepte y ejecute.

Lección 7. Seguridad en aplicaciones web

¿nos describes un poco la arquitectura básica de una aplicación web que utiliza una
base de datos?

Aunque una aplicación web puede ser tan compleja como necesite el sistema, las
aplicaciones típicas tienen la siguiente estructura. En ella se puede ver que hay tres
niveles claramente diferenciados por sus funciones. El primero de ellos es el
encargado del interfaz de usuario, es decir, la parte que gestiona la interacción
Humano-Sistema, y que en una aplicación web típica es el navegador de Internet. El
segundo de los niveles es donde reside la lógica de la aplicación. Esta correrá sobre
los servidores web y los servidores de aplicaciones, que haciendo uso de diferentes
tecnologías podrán generar conocimiento o procesar información con un fin
concreto. Por último tendríamos el almacén de datos, es decir, el repositorio de la
información donde se guarda el conocimiento de una organización. Este repositorio
puede estar implementado por un árbol LDAP, una base de datos relacional, un
almacén con datos en XML o un simple fichero de datos. Existe una conexión entre
cada uno de los niveles adyacentes. El usuario, a través de la información que envía
por el navegador de Internet, interactúa con el servidor web y, a su vez, la lógica de
la aplicación interactúa con el almacén de datos para leer y escribir información en el
sistema. Por supuesto, cada interacción tiene sus conjuntos de protocolos y
lenguajes. Así, entre el nivel de interfaz y el nivel de lógica de aplicación se pueden
utilizar protocolos como http o https para enviar la información, mientras que entre
el servidor web y los repositorios de datos se lanzarán consultas en lenguajes
propios sobre protocolos de red creados específicamente para esta función. Por
ejemplo, si el repositorio es un árbol LDAP, la lógica de la aplicación lanzará
consultas LDAP con filtros de búsqueda LDAP. Si fuera una base de datos relacional
se utilizará consultas en lenguaje SQL sobre protocolos como Tabular Data Stream u
Oracle Net, y en el caso de un repositorio en formato XML se utilizarán consultas
XPath.

Lección 8. Protocolo de reparto de secretos

existen protocolos que permiten que un secreto se pueda recuperar a partir de


determinadas piezas de información que se han elaborado previamente, se conocen
como protocolos de compartición o de reparto de secretos. En inglés estos
protocolos se llaman secret sharing, es decir “compartición de secretos”, pero no se
trata de compartir o repartir un secreto con otros, sino de dividir el secreto en partes
de modo que éstas te permitan recuperarlo más tarde.

Lección 9. Introducción al protocolo SSL


1. ORÍGENES DE SSL. ATAQUES A LA IDENTIDAD E INTEGRIDAD DE LOS DATOS \

La empresa Netscape Communication, famosa por la creación del navegador Web


Netscape Navigator, creó y desarrolló en la década de los 90 el protocolo estándar
SSL (Secure Sockets Layer) un procedimiento para proporcionar comunicaciones
seguras en una red. Este protocolo será de gran utilidad en Internet ya que cuando
navegamos se pueden producir múltiples ataques a la información intercambiada
(integridad y confidencialidad) así como ataques sobre la identidad de las personas
o los servicios (autenticación) a los que nos conectamos, En estos escenarios es
donde es interesante utilizar el protocolo SSL. Por desgracia su implementación no
siempre tiene lugar y su mal uso por parte de los usuarios puede facilitar ataques sin
necesidad de invertir las medidas de seguridad definidas en el mismo.

En las redes de telecomunicaciones, clásicamente en Internet, estos ataques se


suelen materializar mediante ataques de hombre en el medio, Man in the middle
MITM, ya que al no habilitar procedimientos de integridad y autenticidad es posible
alterar o modificar la información en tránsito, así como suplantar la identidad de los
extremos de la comunicación. Hoy día este tipo de ataques son muy sencillos
mediante el uso de herramientas libres disponibles en Internet.

Lección 10. Ataques al protocolo SSL

¿ES SEGURO SSL?


SSL es inherentemente seguro pues los protocolos que se utilizan tienen un cuerpo
teórico fuerte y maduro. Pero incluso así hay aún muchas cosas que pueden salir
mal. Por un lado, está la complejidad que, como sabemos, atenta contra la
usabilidad. Además, las implementaciones pueden tener fallos en la forma en que
han sido programadas. Por último, puede pasar que se desarrollen nuevas técnicas
de criptoanálisis, haciendo que algunos protocolos no sean tan seguros como se
esperaba. Esto, sumado al hecho de que la capacidad de computación de los
atacantes va en aumento conforme a la ley de Moore, hace que los protocolos
necesiten ser revisados y que las antiguas versiones de SSL sean inseguras SSL es
seguro en su diseño teórico. Pero esto es una condición necesaria aunque no
suficiente. Hoy día el uso de este protocolo es vital en el comercio electrónico entre
clientes (usuarios) y proveedores de productos.

Lección 11. Análisis y gestión de riesgos

1. ANÁLISIS DE IMPACTO Y ANÁLISIS DE RIESGOS

Se llama análisis de impacto al ejercicio de imaginarnos las consecuencias de que


haya un incidente, accidental o deliberado. O sea, responder preguntas del tipo:
¿qué pasaría si se revela un dato confidencial? ¿Qué pasaría si manipulan nuestra
información? ¿Qué pasaría si nos quedamos sin servicio durante X horas?

Más que calcularse, hay que preguntar al responsable de la información o el servicio.


A efectos del análisis de riesgos, esta estimación del impacto es un dato de entrada.

A veces se sabe porque existe una legislación u obligaciones contractuales que


marcan obligaciones. La normativa relativa a la protección de datos de carácter
personal puede ser un ejemplo. Otras veces hay obligaciones de servicio, como
puede ser el suministro eléctrico o que funcione el teléfono. Otras veces es
simplemente la estrategia empresarial que ha determinado la Dirección.

2. GESTIONANDO LOS RIESGOS

Típicamente tienes 4 formas de afrontar los riesgos. La primera es evitar la situación,


la segunda mitigar el peligro, la tercera pasárselo a otro y la cuarta aceptar lo que
hay. La primera medida es preguntarnos si necesitamos todo lo que tenemos. Por
ejemplo, poner un servidor Web público en nuestro servidor de bases de datos
puede ser una forma de dar un servicio espectacular a nuestros clientes, pero
también abre la puerta a que haya una fuga o un robo de información: se lo estamos
poniendo fácil al ladrón. Podemos separar el servidor de producción del de acceso
público y así el escenario de riesgo es otro. La segunda medida es mitigar el
impacto, mitigar el riesgo o ambos. El riesgo lo mitigas con medidas preventivas. Por
ejemplo, cifrando el disco duro reduces las oportunidades de que la información
acabe en malas manos si pierdes el portátil en un taxi. El impacto se reduce con
medidas reactivas o de recuperación. Por ejemplo, si tienes copias de seguridad, no
impides que se pierda un fichero o que se averíe el servidor de bases de datos, pero
sabes que te recuperas rápidamente y sigues trabajando.

Lección 12. Seguridad en redes WiFi

1. INTRODUCCIÓN A LA SEGURIDAD DE LAS REDES WI FI

La principal diferencia entre las redes inalámbricas y las redes cableadas, como
Ethernet, está en el acceso físico a la red. En las redes cableadas tradicionales, para
disponer de acceso a la red o a las comunicaciones que viajan por ella, es necesario
conectarse a la misma a través de una toma de red o punto de conexión físico. Sin
embargo, las redes Wi Fi envían sus datos a través de señales de radiofrecuencia
que viajan por el aire, como la TV o la radio, por lo que es más sencillo para
cualquiera poder tener acceso a estas comunicaciones. Podríamos considerer que
una red Wi Fi sería equivalente a tirar un cable de red por la ventana o la puerta del
edificio hacia la calle, abriendo la posibilidad de que cualquiera que pase por allí
pueda conectarse.

Los ataques sobre redes Wi Fi son muy numerosos, pero podríamos clasificarlos en
cuatro categorías generales. Los ataques de negación de servicio (DoS, Denial of
Service) son los más difícilmente evitables por cómo funcionan las tecnologías
inalámbricas, ya que alguien puede generar suficiente “ruido” en la frecuencia
empleada por la red Wi Fi y hacer imposible ningún tipo de comunicación
inalámbrica, afectando a la disponibilidad de la red. Este ataque es especialmente
relevante en entornos críticos, como redes Wi Fi de monitorización en hospitales o
infraestructuras críticas. Por otro lado, es trivial para un atacante interceptar las
comunicaciones de la red Wi Fi que viajan por el aire, y tener así acceso a los datos
intercambiados si estos no están cifrados.

2. SEGURIDAD DE LOS CLIENTES WI FI Dado que las redes Wi Fi pueden ser


configuradas en la actualidad de forma mucho más segura que en el pasado, los
atacantes han centrado sus actividades también en los clientes Wi Fi, el eslabón
más débil de la cadena. Sólo por el hecho de tener un interfaz Wi Fi activo en un
dispositivo móvil alguien podría comunicarse con él y atacarlo. El objetivo de un
ataque cuando ni siquiera el dispositivo está conectado en una red Wi Fi es el
controlador de la tarjeta Wi Fi y el sistema operativo. Por este motivo se
recomienda siempre tener tanto el sistema operativo como, específicamente, los
controladores Wi Fi de todos los dispositivos actualizados en todo momento.

Lección 13. Seguridad en DNS

1.EL SISTEMA DNS.

CONCEPTOS BÁSICOS Como sabes, Internet es una red de millones de ordenadores


conectados entre sí. Habitualmente, para localizar cada ordenador concreto se utilizan
esquemas de direccionamiento. En un mundo analógico, piensa por ejemplo en las
direcciones postales que permiten enviar una carta a cada domicilio. En Internet no
obstante es común usar esquemas basados en números; en función de la cantidad y del
tamaño de esos números, se puede “acceder” a más o menos ordenadores.

Este sistema es muy cómodo para que las máquinas intercambien información, pero a la
gente le resulta mucho más sencillo memorizar nombres descriptivos que números de
varios dígitos. Si te das cuenta, para llamar a alguien por teléfono, primero buscas su
nombre en la agenda. Te resulta mucho más sencillo asociar un nombre o un apodo a
una persona que su número de teléfono. Pasa lo mismo con un ordenador o un
dispositivo electrónico. Es precisamente en esto en lo que sistemas de nombre de
dominio como el sistema DNS (Domain Name System) tienen utilidad. Al final permite
algo tan útil como traducir direcciones “humanas” más o menos descriptivas a
direcciones “máquina”, en nuestro caso direcciones IP.

2.RECOMENDACIONES Y SECURIZACIÓN

Desde un punto de vista del usuario, hay que tomar las medidas oportunas para que tu
ordenador y router estén debidamente protegidos: como ya hemos comentado en
anteriores lecciones, actualizar el software, configurar adecuadamente un antivirus, usar
cortafuegos, una política de claves correcta, etc. En la mayoría de las ocasiones los
ataques serán por esta vía. Por otro lado, si tu misión es proteger una infraestructura,
entonces deberías disponer de un control de accesos sólido, disponer de un sistema de
monitorización efectivo, concienciar a los empleados frente a técnicas de ingeniería
social, que sólo se pueda acceder a la caché del DNS desde máquinas alojadas en la red
interna, tener implantadas las versiones actualizadas de software en los DNS, configurar
los servicios correctamente, etc. Además, si en el peor de los casos sufres un ataque, es
fundamental disponer de trazas de los DNS de quién, qué y cuándo se realizan cambios
en la información de los DNS para ser capaz de detectar qué ocurrió y cómo. Sin duda el
mayor problema del DNS es que en su diseño no se consideraron aspectos de
seguridad. Hoy día existen estándares, como el DNSSEC (Domain Name System Security
Extensions) del IETF (Internet Engineering Task Force), que proporciona autenticación e
integridad de los datos intercambiados vía DNS, usando criptografía de clave pública, lo
que dificulta ataques de suplantación. Así que hay que estar atentos a estas propuestas
para mejorar la seguridad global

Leccion 14. Funciones Unidireccionales y algoritmos de hash

1. FUNCIONES HASH

imagina por un momento que un amigo tuyo quiere enviarte a través de Internet un
fichero enorme, el cual es demasiado grande para adjuntarlo por mail. En su lugar, él lo
sube a alguna Web pública. Sin embargo, estarás conmigo que alguien podría cambiar el
fichero sin que tú te dieras cuenta.

existen soluciones todavía más sencillas. Por ejemplo, tu amigo podría tomar ese fichero
grande que quiere enviar y utilizando una función hash, calcular un valor basado en él,
por ejemplo de 20 caracteres alfanuméricos, al que nosotros llamaremos resumen del
fichero.

También podría gustarte