Encriptación y seguridad

La simbología ha sido siempre el desvelo del hombre; hoy en día se está aplicando de manera digital.

Por Osvaldo Callegari

La importancia de la codificación ha estado presente en la mente del hombre desde sus comienzos, muestra de ello es la forma de expresarse mediante gráficos, utilizada en las cavernas pese a que no existía un lenguaje determinado, pero sí había un común acuerdo entre los grupos humanos en la prehistoria; aquellas imágenes sólo eran entendidas por ellos, evitando que otros supieran cierta información, por ejemplo donde estaba almacenado el alimento. Esto hizo que desde tiempos inmemoriales a través de los cambios tecnológicos se tuvieran reminiscencias de la forma de aplicarlo o la necesidad del uso de los sistemas de codificación.

Es por ello que la necesidad básica de tener la información asegurada promete ser preponderante en el ámbito de las comunicaciones, precisamente por esta necesidad es que la encriptación, un modelo con diferentes ramas de aplicación, viene siendo de vital importancia en la protección y control de los datos. Debido a que en la actualidad existen nuevas amenazas y modalidades de sustracción de la información iremos mostrando en diferentes entregas las formas de protección existentes.

Firma Digital

Para poder entender la firma digital, ofrecemos algunos conceptos de la subsecretaria de la información de PKI en Argentina. Seguido a ello citamos un caso de estudio en la ciudad de Salta, Argentina.

¿Qué es la firma digital? Ésta es una herramienta tecnológica que permite garantizar la autoría e integridad de los documentos digitales, posibilitando que éstos gocen de una característica que únicamente era propia de los documentos en papel. Una firma digital es un conjunto de datos asociados a un mensaje electrónico que permite garantizar la identidad del firmante y la integridad del mensaje. La firma digital no implica asegurar la confidencialidad del mensaje; un documento firmado digitalmente puede ser visualizado por otras personas, al igual que cuando se firma holográficamente.

¿Cómo funciona? La firma digital funciona utilizando complejos procedimientos matemáticos que relacionan el documento firmado con información propia del firmante, el cual permite que terceras partes puedan reconocer la identidad del firmante y asegurarse de que los contenidos no han sido modificados. El firmante genera, mediante una función matemática, una huella digital del mensaje, la cual se cifra con la clave privada del firmante. El resultado es lo que se denomina firma digital, que se enviará adjunta al mensaje original. De esta manera, el firmante adjuntará al documento una marca que es única para dicho documento y que sólo él es capaz de producir.

Para realizar la verificación del mensaje, en primer término el receptor generará la huella digital del mensaje recibido, luego descifrará la firma digital del mensaje, utilizando la clave pública del firmante y obtendrá de esa forma la huella digital del mensaje original; si ambas huellas digitales coinciden, significa que no hubo alteración y que el firmante es quien dice serlo.

- Publicidad -

En la elaboración de una firma digital y en su correspondiente verificación se utilizan complejos procedimientos matemáticos basados en criptografía asimétrica (también llamada criptografía de clave pública). En un sistema criptográfico asimétrico, cada usuario posee un par de claves propio. Estas dos claves, llamadas clave privada y clave pública, poseen la característica de que si bien están fuertemente relacionadas entre sí, no es posible calcular la primera a partir de los datos de la segunda, ni tampoco a partir de los documentos cifrados con la clave privada.

El sistema opera de tal modo que la información cifrada con una de las claves sólo puede ser descifrada con la otra. De este modo si un usuario cifra determinada información con su clave privada, cualquier persona que conozca su clave pública podrá descifrar la misma.

En consecuencia, si es posible descifrar un mensaje utilizando la clave pública de una persona, entonces puede afirmarse que el mensaje lo generó esa persona utilizando su clave privada (probando su autoría).

Caso de estudio

El diario La Gaceta de Salta, Argentina, relató un importante avance ocurrido en esa ciudad frente al tema de las firmas digitales, “Salta dará un importante paso en materia tecnológica cuando, próximamente, implemente la firma digital de los decretos. De esta manera, se convertirá en la primera provincia de la Argentina en emplear este novedoso sistema. El anuncio fue realizado por el gobernador Juan Manuel Urtubey durante la apertura del Tercer Encuentro Internacional de Banda Ancha y Cablemodem, que se está realizando en el hotel Sheraton de esa capital”. {mospagebreak}

Podemos decir que la firma digital garantiza el origen y validez de un mensaje o de cierta información, pero no asegura que no pueda ser sustraída. De alguna manera es el camino a seguir de los datos con procedimientos homologados ante autoridades certificantes.

Asimismo se encuentran otros sistemas, equipos y empresas que permiten brindar seguridad a la información, de tal modo que sólo las personas autorizadas pueden acceder a ella. Para tocar este tema en específico, expondremos un caso de estudio para ver qué hacen las empresas y cuáles herramientas están disponibles para proteger la información de diferentes amenazas.

Protegiéndonos del Phishing
Empresa analizada: Macroseguridad.org
Producto: BioPass 3000 Token

Se trata de un dispositivo biométrico para portabilidad de certificados digitales y autenticación univoca de usuarios, con el agregado de la funcionalidad de los dispositivos criptográficos denominados Token USB como herramienta decisiva en la lucha contra el robo de identidad, phishing y pharming.

Antídoto: Defensa ante el phishing

Phishing, es una modalidad de estafa diseñada para obtener información crítica de los usuarios incautos. Los diferentes delincuentes virtuales están utilizando cada vez más los denominados botnets (grupos de computadores sobre los que tienen control) para lanzar ataques de phishing por spam imposibles de rastrear. El número de estafas de phishing y pharming crece abrumadoramente día tras día.

Principales funciones:
•Total soporte en español en Latinoamérica de software y manuales
•Soporte plataforma Microsoft ®
•Acceso a la PC con biometría
•Soporte para la plataforma LINUX®
•Autenticación al escritorio remoto por biometría y PKI
•Importa certificados en formato PFX, P12, P7B, CER, soporta cualquier aplicación PKI basada en el estándar X509v3.

- Publicidad -

Recomendaciones:
1)-Jamás responder los correos electrónicos que solicitan la información financiera y datos personales, en todo caso ponerse en contacto telefónicamente con la institución.
2)-Visitar los sitios de los bancos escribiendo el URL en la barra de direcciones del explorador
3)-Llevar un registro y efectuar un chequeo regular en sus cuentas
4)-Comprobar que el sitio web que se está visitando es seguro.
5)-Mantener su PC segura e instalar todas las actualizaciones correspondientes para mejorar la seguridad.
6)- Informar a la institución bancaria acerca de cualquier tipo de actividad sospechosa.
7)-Comenzar a solicitar un método robusto de autenticación y de portabilidad de identidad digital.
8)-Lectura adicional.

Composición:

El BioPass3000 Token posee un mecanismo de seguridad de tres (3) niveles de fingerprint scan (escaneo de huella dactilar) alto, medio y bajo, que el administrador puede ajustar de acuerdo a las características del usuario, también posee una herramienta “Fingerprint Tour” que facilita a través de ejemplos la realización de una comparativa para saber si se efectuó (o no) un correcto registro de la huella dactilar. Además, cuenta con dos LEDS para poder visualizar cuando ejecutó el registro de un fingerprint, o cuando compruebo el estado del token.

Otra de las características importantes del dispositivo es que no necesita de baterias, su fuente de energía es el puerto USB de la PC. La Conexión del dispositivo a la PC se realiza mediante una Mini USB (cable adaptador a USB provisto por Feitian Technologies). Cuenta con un diseño anatómico en un plástico resistente a golpes y de un tamaño que le permitiría llevarlo en un llavero.

Comentario con respaldo técnico:

“Los delincuentes están usando ataques combinados —que reúnen varias técnicas de crimen electrónico— para robar identidades y secuestrar sistemas, a menudo engañando hasta a los usuarios más experimentados. Los sectores de servicios financieros son los más afectados por este tipo de tácticas. Muchas veces estos delincuentes crean sitios que imitan casi perfectamente los portales legítimos de los bancos, haciendo que los usuarios caigan en una trampa a fin de que provean en este portal información sensible como es la contraseña, ID de usuario u otras informaciones”. Diego Laborero, RPM de MacroSeguridad

- Publicidad -

Las marcas y productos mencionados son marcas y productos registrados de sus propias empresas.

Se agradece el aporte de la Subsecretaria de la Gestión Pública de Argentina en PKI, a Diego Laborero RPM de Macroseguridad.org y la organización SANS.Org. Por promoción o publicidad de productos del rubro comunicarse con la editorial de la revista.

*Si desea puede escribirle al autor al correo electrónico: [email protected]

Organizaciones que se ocupan del problema: Sans Org

Según SANS existen varios casos de señuelos para el phishing que vamos a citar a continuación.

El caso del correo electrónico

El Señuelo: Un correo electrónico o un mensaje desplegable que reclama información desde una empresa u organización a la cual usted está relacionada, puede ser un proveedor de Internet, un banco, un servicio de pagos en línea o una agencia de gobierno.

El mensaje puede requerirle que actualice sus datos, su cuenta bancaria, confirme su información o tendrá consecuencias desagradables.

El engaño: Se trata de un fraude de Internet donde la intención primaria es la sustracción de la información de sus datos personales, cuentas bancarias y/o de tarjetas de crédito.

Políticas de seguridad: Debe tener como política nunca responder los correos de estas características o aceptar ventanas desplegables. No utilizar las funciones de cortar y pegar los vínculos de mensajes dentro del navegador. No llamar a los números telefónicos que se muestran en el aviso. Usar un antivirus y un antispyware combinado con un cortafuegos y manteniendo los mismos actualizados puede ayudar. Los correos de phishing se pueden enviar para analizar en [email protected] y a la organización que figura en el vínculo.

El caso del “Trabaje en su Hogar”

El señuelo:

Promesas de un trabajo de alta rentabilidad y mínimo esfuerzo. Con ventanas desplegables que incluyen ofertas como dinero rápido, trabajo mínimo, además de consejos de por que trabajar en casa es conveniente para usted.

El engaño: Las publicidades no le dicen a que debe trabajar muchas horas sin pago o los costos ocultos que trae la promoción de hacer fotocopias, colocar avisos publicitarios o comprar elementos para comenzar el trabajo en casa. Una vez que se invierte todo el tiempo y dinero les reclama a los promotores, los cuales se rehúsan a pagarle debido a que usted no alcanza los estándares requeridos de calidad.

Políticas de seguridad: La comisión de procesos no ha encontrado aún personas que se hayan hecho ricas enviando cartas o ensamblando magnetos en el hogar, es por ello que antes de realizar un acuerdo de trabajo debe tener en claro las siguientes premisas:

Debe saber: exactamente cual es el programa y sus alcances, cuanto le van a pagar, las tareas que realizará, la totalidad de los costos del programa. Verificar la veracidad de la información de los trabajadores actuales que figuran en la propuesta.

Author: Julián Arcila Restrepo

Chief Marketer

Communications professional, MBA, specialized in designing and executing successful Public Relations and Digital Marketing campaigns with more than 14 years of experience in areas related to communications.