Proteger TCP/IP

Como sabemos hoy en da, todos los dispositivos con una direccin IP pblica en internet reciben un bombardeo constante de cdigos maliciosos que intentan conseguir un nivel de acceso a nuestros importantes datos. Inclusive los datos que se mueven entre dos servidores y/o ordenadores son relativamente fciles de interceptar y leer.

Los piratas informticos roban millones de datos de mil formas diferentes t TPC/IP en su forma original es incapaz de detenerlos. Por eso en este archivo veremos los distintos elementos que se han mejorado en TCP/IP para proteger nuestros datos de aquellos que quieren robarlos.

En primera dividiremos en cuatro reas la seguridad TCP/IP, las cuales son: cifrado, no repudio, autenticacin y autorizacin. El cifrado implica codificar y mezclar los datos para cambiarlos de modo que los piratas no puedan leerlos. Por supuesto, los datos tambin deben ser decodificados por la persona que los reciba. No repudio es el proceso que garantiza que los datos recibidos son los datos enviados y que vienen de la fuente que deberan venir. No repudio ha sido diseado para cubrir situaciones

en las que alguien intercepta sus datos mientras estn siendo enviados y realiza algn cambio o aquellas en las que alguien pretende ser quien no es. La autenticacin significa verificar que quien acceda a los datos sea la persona que corresponde. La forma tradicional de autenticacin es la combinacin de nombre de usuario y contrasea, pero hay muchas ms formas de autentificarse. La autorizacin define lo que puede hacer la persona que acceda a los datos. Los distintos sistemas operativos proporcionan diferentes esquemas de autorizacin pero el clsico esquema de Windows es asignar permisos a una cuenta de usuario. Por ejemplo, un administrador puede hacer muchas ms cosas una vez autentificado que un usuario limitado Los anteriores reas de seguridad puede que los apreciemos como temas independientes, pero en el mundo real de seguridad TCP/IP suelen solaparse muy a menudo. En TCP/IP existen protocolos completos que combinan el cifrado, no repudio, la autentificacin y la autorizacin para crear soluciones de seguridad completas para una aplicacin.

Cifrado
Todos los datos en una red no son ms que unos y ceros, por lo cual identificar cadenas de unos y ceros de un paquete es fcil. Por ejemplo un paquete de datos en una red siempre viene con un nmero de puerto, de modo que los piratas informticos saben qu tipo de datos est leyendo. Todos los datos comienzan con un texto simple, qu significa que los datos tiene formato estndar muy fcil de leer y detectar por todo el sector. El texto simple, tambin conocido como texto claro. Los datos suelen ser texto, pero tambin pueden ser un archivo binario como una fotografa o un programa ejecutable. Independientemente del tipo de datos todos empiezan con un texto simple. Si queremos hacer que el significado de nuestros datos sea difcil de entender para otras personas, necesitan una clave. Una clave es una serie matemtica compleja y difcil de invertir, llamada algoritmo, que se establece en una cadena de unos y ceros para hacer visible un nuevo conjunto de unos y ceros aparentemente sin sentido. La clave y el mtodo utilizados para implementarla se conocen como algoritmo completo. Supongamos que tenemos una cadena de unos y ceros como est: 01001101 01001001 01001011 01000101

Puede que a simple vista esta cadena no nos diga nada, pero si fuera parte de un paquete HTTP su navegador Web sabra instantneamente que es un Unicode, es decir, nmeros que representan letras y otros caracteres y lo convertira en texto: 01001101 01001001 01001011 01000101 M I K E Vamos a crear una clave para cifrar este texto claro. Podra hacer algo realmente simple como aadir un 1 a cada valor (e ignorar los que llevan un 1). 0+1=1 y 1+1=0 10110010 10110110 10110100 10111010 No sirve de mucho limitarse a invertir los valores. Probemos con algo ms difcil de descifrar introduciendo un segundo valor (una clave) de ocho nmeros binarios, por ejemplo (10101010) y realicemos algn clculo para que todos los valores de ocho dgitos binarios utilicen este algoritmo: Si el texto claro es... 0 0 1 1 Y el valor de clave es 0 1 0 1 El resultado es 0 1 1 0

Esto se conoce como XOR binario (eXclusive OR). Alinee la clave al lado de los primeros ocho valores de texto claro: 10101010 01001101 01001001 01001011 01000101 11100111 Posteriormente, hagan lo mismo con los ocho valores binarios siguientes. Un XOR funciona con letras y nmeros. Vean si pueden descomponer este cdigo. WKH TXLFN EURZQ IRA MXPSV RYHU WKM ODCB GRJ

Este es un clsico ejemplo de lo que se conoce como cifrado Cesar. Solo tiene que coger las letras del abecedario y transponerlas:

Carta real: ABCDEFGHIJKLMNOPQRSTVWXYZ Carta codificada: DEFGHIJKLMNOPQRSTVWXYZABC El cifrado Cesar es muy fcil de descifrar utilizando patrones de palabras anlisis de frecuencia o por la fuerza bruta. Pg. 399. Los cifrados que utilizan la misma clave para cifrar y descifrar los datos se llama cifrado de clave simtrica o algoritmo de clave simtrica. Los cifrados que utilizan claves diferentes para cifrar y descifrar los datos se llama cifrado de clave asimtrica o algoritmo de clave asimtrica.

Estndares de cifrado de clave simtrica

La mayora de algoritmos que utilizamos se llaman cifras de bloque porque cifran los datos en un nico fragmento de cierta longitud. Digamos que tienen un documento de Microsoft Word de 100,000 bytes y quiere cifrarlo. Un tipo de cifrado tomara fragmentos de 128bits y cifrara los datos de forma independiente, es decir, cada uno por separado. Este modo de cifrado de bloque es muy conocidos en este tipo de paquetes. La alternativa es un cifrado basado en flujo, que cifra un nico bit a la vez mientras se transfieren. El cifrado basado en flujo es muy conocido cuando los datos vienen en flujos de gran longitud (como en el caso de redes inalmbricas ms antiguas o lneas de telefona mvil). Tipos de algoritmos de clave simtrica: DES (Estndar de cifrado de datos).- Estados Unidos, finales de los setenta, bloques de 64 bits y clave de 56 bits. Susceptible a ataques de fuerza bruta. RC4 (Rivest Cipher 4).- Algoritmo de seguridad, finales de los ochenta, mismo cantidad de bits por bloque, misma vulnerabilidad.

AES (estndar avanzado de cifrado).- creado a finales de los noventa, bloque de 128 bits y claves de 128, 192 o 256 bits; muy seguro, prcticamente imposible de descifrar, muy rpido de cifrado, se utiliza en cifrado de documentos de redes inalmbricas.

Estndares de cifrado de clave asimtrica

El cifrado de clave simtrica presenta una seria debilidad: si consigue parte de la clave puede cifrar o descifrar los datos de ella. La naturaleza del cifrado de clave simtrica nos obliga a enviar la clave a la otra persona de un modo u otro, haciendo que esto conlleve un riesgo. Una respuesta a este problema de compartir la misma clave se solucion utilizando dos claves diferentes, una para cifrar y otra para descifrar, un algoritmo de clave asimtrica. Todo esto mediante a lo que se conoce como criptografa de clave pblica, con las que las claves se intercambian de forma segura, la cual incluye un algoritmo funcional llamado Rivest Shamir Adleman (RSA). ADVERTENCIA : LA CRIPTOGRAFA DE CLAVE PBLICA ES LA FORMA MS CONOCIDA DE CIFRADO DE CORREO . Por ejemplo Pepe y Too se quieren enviar un correo cifrado. SMTP no tiene ninguna forma de cifrado (conocida) de modo qu Pepe y Too deben idear algn programa que cifre sus mensajes. De este modo, enviaran los mensajes cifrados por correo normal. Lo primero que se tiene que hacer es que Pepe genere dos claves. Una se queda en el ordenador (clave privada) y la otra se enva al destinatario para que reciba el correo cifrado (clave pblica). Ambas claves conocidas como par de claves, se generan a la misma vez y se disean para trabajar juntas. Hecho esto, enva una copia de la clave pblica a Too.

Un algoritmo de criptografa de clave pblica funciona cifrando los datos con una clave pblica y descifrando los datos con una clave privada. La clave pblica cifra los datos y solo la clave privada asociada del par de claves puede descifrar los datos. Pgs. 404-405.

No repudio
En el campo de la informtica, no repudio significa que el receptor de la informacin tiene un alto grado de seguridad de que el destinatario de una informacin es verdaderamente quien el receptor cree que debera ser. Una de las tantas maneras de presentarse No repudio es algo conocido como HASH.

Hash
Es concretamente una funcin matemtica que funciona en una cadena de dgitos binarios de cualquier longitud que resulta en un valor de longitud definida (a menudo llamada suma de comprobacin o compendio). Una funcin criptogrfica de hash es una funcin de va nica. Esto significa que el hash es prcticamente irreversible. Algo similar a la siguiente figura:

El uso ms conocido de hash es en el de archivos. O sea que al momento de enviar un archivo se enva tambin la suma de comprobacin. La versin 5 del algoritmo de resumen de mensaje, conocido como MD5, es la funcin de HASH ms conocida para este tipo de tarea.

Existen otras funciones de hash como el llamado algoritmo seguro de HASH (SHA) en sus versiones SHA-1 y SHA-2, Net.MD5. Algunos servidores SMTP utilizan una forma especial de MD5 como CRAM-MD5 como herramienta para autenticacin del servidor. Pg. 407.

Firma digital
Como mencionamos anteriormente, la criptografa de clave pblica implica el riesgo de recibir un mensaje o una clave pblica de alguien que no se quien dice ser. Para evitar lo anterior, aadimos una firma digital. Una firma digital es otra cadena de unos y ceros que solo puede ser producida por el remitente, normalmente haciendo un clculo matemtico complejo con el mensaje y la clave privada La persona con la clave pblica coincidente comprueba la firma digital utilizando la clave digital utilizando la clave pblica para verificar que procede del remitente en cuestin. La firma digital es muy popular entre los usuarios de E-mail.

Un ejemplo de lo anterior es en Mozilla Thunderbird:

Existe otro concepto llamado certificado (PKI) que es un tipo de firma digital estandarizado que normalmente incluye una firma digital de un tercero, una persona o empresa que garantiza que quien est pasando el certificado es realmente quien dice que es. Son muy frecuentes en pginas Web seguras. Una de las empresas que te permiten crear pginas Web seguras y te vende certificados firmados es VeriSign. Los certificados y la criptografa asimtrica estn estrechamente vinculados porque los certificados digitales se utilizan casi siempre para verificar el intercambio de claves pblicas. Podemos conseguir un certificado gratuito de e-mail personal en la siguiente pgina:

Autenticacin
Lo ms probable es que trate con la autenticacin en algn nivel. Como por ejemplo cuando en algn correo, pagina Web, tenga que introducir un nombre de usuario y una contrasea. O que en una red el servidor le pida un usuario y password. Un ejemplo del cifrado y autenticacin lo vemos en el siguiente programa llamado McAfee Endpoint Encryption, veamos el siguiente video sobre este software: Video McAfee

Autorizacin
Gran parte del proceso de conexiones de red implica un ordenador que pide algo a otro. Un cliente Web puede pedir una pgina Web, por ejemplo, o un cliente CIFS puede un servidor de archivo acceso a una carpeta. Un ordenador remoto puede pedir acceso a una red privada. En cualquiera de los casos jvenes, deberan asignar cuidadosamente los niveles de acceso a sus recursos. Esto se conoce como autorizacin. Para definir la asignacin de los niveles de acceso, utilicen una lista de control de acceso. Una lista de control de acceso (ACL) no es ms que una lista claramente definida de permisos que especifican lo que el usuario autentificado puede hacer en un recurso compartido.

Hay tres tipos de modelos de acceso ACL: obligatorio, discrecional y basado en roles. Obligatorio (MAC): cada recurso tiene asignada una etiqueta que define su nivel de seguridad. Si un usuario carece de nivel de seguridad, no puede acceder. Discrecional (DAC): se basa en la idea de que hay un poseedor del recurso que puede asignar el acceso al recurso en cuestin a su criterio. DAC se considera ms flexible que MAC. Basado en roles (RBAC): el ms conocido para compartir archivos. Define un acceso de usuario a un recurso basndose en los roles que los usuarios desempeen en el entorno de la red. De ah porque la idea de crear grupos, que en un sistema de servidor como Windows server define claramente los accesos a los distintos recursos. La cuenta de usuario se encuentran en varios grupos. Veamos las siguientes figuras que es un ejemplo claro de la autorizacin en sus tres modelos de acceso.

Un ejemplo de lo anterior podra ser el siguiente, en una red tenemos un grupo llamado Los Es Quiquis en un servidor Web que da acceso a los miembros de dicho grupo a una pgina Web especial que no pueden ver los miembros de otros grupos.

Estndares de autenticacin
Estos son algunos de los estndares de autenticacin en TCP/IP, algunos ya son muy obsoletos, pero se utilizaban y se utilizan para evitar el acceso no autorizado. PPP (Protocolo punto a punto): permite conectar dos ordenadores, autentificar un nombre y contrasea y negociar un protocolo de red. Primer mtodo PAP (obsoleto) y actual (CHAP, y la ms actual MS-CHAPv2) se basa en hash. Pgs. 415-416. AAA (autenticacin, autorizacin y contabilidad): se dise para proteger los datos de nombre de usuario y contrasea. AAA se ha diseado para la idea de autenticacin de puerto, el concepto de permitir a usuarios remotos la autenticacin Veamos a que se refiere cada uno de estos conceptos en este ltimo estndar (AAA): Autenticacin. Un ordenador que pretende conectarse a la red debe presentar algn tipo de credencial para acceder a la misma. Esta credencial suele ser un nombre de usuario y contrasea pero tambin puede ser un token de seguridad como una tarjeta inteligente, un escner de retina o un certificado digital. Puede ser incluso una combinacin de ella. La autenticacin da al ordenador derecho de acceder a la red.

 Autorizacin. Una vez que se ha producido la autenticacin, el ordenador determina que puede y que no puede hacer en la red. Quiz solo pueda utilizar cierta cantidad de ancho de banda. Puede tener el acceso limitado a la red, solo ciertos das de la semana o incluso que solo pueda utilizar un nmero determinado de aplicaciones. Contabilidad. El servidor de autenticacin debera tener alguna forma de contabilidad como registrar el nmero de veces que un usuario se conecta y se desconecta. Puede registrar los intentos fallidos de acceso. O puede registrar a que servicios o recursos accede el cliente. El nmero de elementos para contabilizar es enorme.

Links de apoyo: http://www.youtube.com/watch?v=EY3j2gikLpc http://www.youtube.com/watch?v=EY3j2gikLpc http://www.softonic.com/windows/cifrado http://www.criptored.upm.es/crypt4you/temas/RSA/leccion9/leccion09.html http://recursostic.educacion.es/observatorio/version/v2/ca/cajon-de-sastre/38-cajon-desastre/778-comprobar-una-descarga