Glosario

A
Active Directory
Active Directory es el servicio de directorio LDAP que utiliza el sistema operativo
Windows 2000.
almacn de certificados
Un almacn de certificados es una uicaci!n de almacenamiento de certificados" listas
de revocaciones de certificados #$%L& y listas de certificados de confianza #$'L&.
almacn de claves
Un almacn de claves es la uicaci!n donde la AP( de cripto)raf*a de +icrosoft
#$ryptoAP(& almacena los pares de claves #normalmente en un arc,ivo o en una clave
del %e)istro&. Los almacenes de claves son espec*ficos de un usuario o del equipo en el
que se )eneraron las claves.
ataque de diccionario
Un ataque de diccionario es un ataque por fuerza ruta en el que el atacante pruea
todas las claves secretas posiles para descifrar datos cifrados. Puede reducir la
amenaza de esta forma de ataque mediante el uso de un valor salt -unto con datos
cifrados #o ,as,&.
autenticacin
La autenticaci!n es el proceso de comproaci!n de la identidad. Por e-emplo" cuando se
inicia una sesi!n en Windows" el sistema operativo autentica al usuario mediante la
solicitud de sus credenciales. un nomre de usuario y una contrase/a. $uando un
proceso #un tipo de principal& que act0a en nomre de un usuario se conecta a un equipo
remoto" utiliza un con-unto de credenciales de la memoria cac, para responder a las
solicitudes de autenticaci!n de la red.
autenticacin annima
La autenticaci!n an!nima es una forma de autenticaci!n de ((1 en la que ((1 no intenta
comproar la identidad de sus clientes. La autenticaci!n an!nima es similar a la no
autenticaci!n. A menudo se utiliza -unto con la autenticaci!n mediante 2ormularios de
A1P.34'" que utiliza un formulario 5'+L para capturar las credenciales del cliente.
autenticacin bsica
La autenticaci!n 6sica forma parte del protocolo 5''P 7.0. 1u uso es muy e8tendido"
porque la implementan pr6cticamente todos los servidores We y e8ploradores We. La
autenticaci!n 6sica es un mecanismo de autenticaci!n sencillo que no requiere
cripto)raf*a ni protocolos de enlace desaf*o9respuesta. 4n lu)ar de eso" las credenciales
de un principal #nomre de usuario y contrase/a& se pasan directamente del cliente al
servidor. La autenticaci!n 6sica no es se)ura" a menos que se comine con 11L" ya
que la contrase/a no se cifra antes de transmitirla a la red. 1e transmite mediante
codificaci!n ase :;" de forma que puede otenerse f6cilmente la contrase/a de te8to
sin cifrar.
autenticacin de certificados
La autenticaci!n de certificados es una forma de autenticaci!n de ((1 en la que ((1
acepta certificados de cliente que se utilizan para comproar la identidad del cliente. $on
esta forma de autenticaci!n" ((1 puede optar por asi)nar un certificado de cliente a una
cuenta de usuario de Windows mediante una tala de asi)naci!n interna o Active
Directory.
autenticacin implcita
La autenticaci!n impl*cita viene definida por el protocolo 5''P 7.7" aunque su uso no es
muy e8tendido. $on esta forma de autenticaci!n" una contrase/a de te8to sin cifrar no se
transmite a travs de la red. 4n su lu)ar" se transmite una contrase/a ,as, o impl*cita.
Aunque es m6s se)ura que la autenticaci!n 6sica" requiere tener instalado (nternet
48plorer <.0 o posterior en el cliente" y un equipo con Windows 2000 e-ecutando ((1 <.0
con Active Directory en el servidor.
autenticacin mediante Formularios
La autenticaci!n mediante formularios es un tipo autenticaci!n admitida por A1P.34'
que requiere que los usuarios inicien la sesi!n proporcionando credenciales de inicio de
sesi!n a travs de un formulario 5'+L.
autenticacin mutua
La autenticaci!n mutua es una forma de autenticaci!n en la que el cliente autentica al
servidor" a la vez que el servidor autentica al cliente. La autenticaci!n mutua no es
admitida por 3'L+ pero s* por =ereros. 'amin es posile con 11L cuando el servidor
acepta o solicita certificados de cliente.
autoridad
Una autoridad es una entidad #or)anizaci!n o equipo& de confianza que se utiliza para
proporcionar servicios de autenticaci!n.
autorizacin
La autorizaci!n es el proceso que determina si se permite o no a una identidad
autenticada tener acceso a un recurso solicitado o e-ecutar una operaci!n solicitada.
autorizacin declarativa
La autorizaci!n declarativa es una forma de autorizaci!n que se aplica en el uso de
atriutos. Por e-emplo" .34' proporciona la clase PrincipalPermissionAttribute que se
puede utilizar para anotar mtodos que proporcionen autorizaci!n declarativa.
Por e-emplo" la si)uiente autorizaci!n declarativa )arantiza que el mtodo
DoPrivMethod s!lo puedan e-ecutarlo miemros de la funci!n +ana)er o 'eller.
[PrincipalPermissionAttribute(SecurityAction.Demand, Role="Teller"),
PrincipalPermissionAttribute(SecurityAction.Demand, Role="Manager")]
public void DoPrivMethod()
{
}
autorizacin imperativa
La autorizaci!n imperativa es una forma de autorizaci!n que se aplica en el c!di)o del
mtodo. Por e-emplo" .34' proporciona la clase PrincipalPermissionAttribute que se
puede utilizar para proporcionar autorizaci!n imperativa" tal y como se muestra en el
si)uiente c!di)o. 4l c!di)o pide que el llamador pertenezca a la funci!n 'eller. 1i el
llamador no pertenece a esta funci!n" se )enera una e8cepci!n de se)uridad y no se
e-ecuta el c!di)o con privile)ios #el c!di)o que si)ue a la llamada al mtodo Demand&.
public UsePrivilege()
{
PrincipalPermission permCheck = new PrincipalPermission(null,"Teller");
permCheck.Demand();
// privileged code
}

base de datos !AM

La ase de datos 1A+ es la ase de datos que utilizan Windows 3' y Windows 2000
#sin Active Directory& para mantener las cuentas de usuario y de )rupo.
"
certificado
Un certificado es una estructura de datos firmados di)italmente que contiene informaci!n
acerca de un su-eto #persona o aplicaci!n& y de la clave p0lica del mismo. Las
or)anizaciones de confianza denominadas entidades emisoras de certificados #$A&
emiten los certificados tras verificar la identidad del su-eto.
certificado de cliente
Un certificado de cliente es un certificado que utilizan los clientes para proporcionar a las
aplicaciones servidor una identificaci!n positiva de su identidad.
cifrado
4l cifrado es un al)oritmo cripto)r6fico que se utiliza para cifrar datos.
cifrado de claves p#blica y privada
4l cifrado de claves p0lica y privada es una forma asimtrica de cifrado asado en un
par de claves" p0lica y privada" )eneradas cripto)r6ficamente. Los datos cifrados con
una clave privada pueden descifrarse 0nicamente con la clave p0lica correspondiente y
viceversa.
cifrado simtrico
4l cifrado simtrico es una forma de cifrado que utiliza la misma clave #0nica& para cifrar
y descifrar datos. 'anto el emisor como el destinatario de los datos cifrados deen tener
la misma clave.
cifrar
$ifrar es convertir datos #te8to sin formato& en un valor aparentemente aleatorio y sin
sentido #te8to cifrado&" que es dif*cil de descifrar sin una clave secreta. 1e utiliza para
proporcionar confidencialidad a los mensa-es.
clave
Una clave es un valor suministrado por un al)oritmo de cifrado o descifrado que se utiliza
para cifrar y descifrar datos. Los al)oritmos de cifrado simtricos utilizan la misma clave
para cifrar y descifrar" mientras que los al)oritmos asimtricos utilizan un par de claves.
p0lica y privada.
clave de sesin
La clave de sesi!n es una clave simtrica )enerada aleatoriamente que se utiliza para
cifrar datos que se transmiten entre dos partes. Las claves de sesi!n se utilizan una sola
vez #en una sola sesi!n& y" a continuaci!n" se descartan.
clave privada
Una clave privada es la mitad del secreto de un par de claves que se utiliza en un
al)oritmo de clave p0lica. Las claves privadas suelen utilizarse para cifrar una clave de
sesi!n simtrica" para firmar di)italmente un mensa-e o para descifrar un mensa-e que
,aya sido cifrado con la clave p0lica correspondiente.
clave p#blica
Una clave p0lica es la mitad p0lica de un par de claves. p0lica y privada. 1uele
utilizarse al descifrar una clave de sesi!n o una firma di)ital. La clave p0lica tamin se
puede utilizar para cifrar un mensa-e" )arantizando de este modo que s!lo pueda
descifrar el mensa-e la persona con la correspondiente clave privada.
codificacin base $%
La codificaci!n ase :; es un mtodo ien definido para procesar datos inarios como
te8to A1$(( imprimile" que se puede utilizar adecuadamente con los protocolos asados
en te8to como 5''P. 3o es un tipo de cifrado.
comunicacin se&ura
La comunicaci!n se)ura consiste en proporcionar inte)ridad y privacidad a los mensa-es
cuando se transmiten datos a travs de una red. Al)unas tecnolo)*as que proporcionan
una comunicaci!n se)ura son 11L y (P1ec.
confianza
Los sistemas se)uros se asan en el concepto de confianza en mayor o menor medida.
Por e-emplo" se conf*a en que los usuarios con privile)ios administrativos #es decir" los
administradores& administrar6n correctamente un sistema y no e-ecutar6n acciones
malintencionadas delieradamente. De forma similar" se dee confiar en el c!di)o que
se e-ecuta con privile)ios e8tendidos" como los controladores de dispositivos" y en el
c!di)o que se e-ecuta como Local1ystem. 4l c!di)o que requiere tal confianza de
manera impl*cita se e-ecuta en la ase de computaci!n de confianza #'$>& del equipo.
3o se dee permitir la e-ecuci!n del c!di)o que no sea de total confianza en la '$>.
4l concepto de confianza tamin es importante para el modelo de susistema de
confianza" que conf*a en una aplicaci!n o servicio.
confianza transitiva
La confianza transitiva es una forma idireccional de relaci!n de confianza entre equipos
y dominios. 'ransitivo si)nifica que si la autoridad A conf*a en la autoridad > y la
autoridad > conf*a en la autoridad $" entonces la autoridad A conf*a de manera impl*cita
en la autoridad $ #sin que ten)a que e8istir una relaci!n de confianza e8pl*cita entre A y
$&. Active Directory en Windows 2000 admite las relaciones de confianza transitiva.
confidencialidad
?ea privacidad.
conte'to de se&uridad
4l conte8to de se)uridad es un trmino )enrico que se utiliza para ,acer referencia a la
colecci!n de confi)uraci!n de se)uridad que afecta al comportamiento relacionado con
la se)uridad de un proceso o suproceso. Los atriutos del inicio de sesi!n de un
proceso y del testi)o de acceso se cominan para formar el conte8to de se)uridad del
proceso.
conte'to ())P
4l conte8to 5''P es el conte8to o colecci!n de propiedades que se asocia a la solicitud
We actual y la descrie.
controlador ())P
A1P.34' asi)na solicitudes 5''P a controladores 5''P. A1P.34' asi)na direcciones
U%L o )rupos de e8tensiones U%L a controladores 5''P espec*ficos. Los controladores
5''P son una funcionalidad equivalente a las e8tensiones (1AP(" pero su modelo de
pro)ramaci!n es muc,o m6s sencillo. Un controlador 5''P es un ensamlado que
implementa las interfaces *(ttp(andler y *(ttpAsync(andler.
credenciales
Las credenciales son el con-unto de elementos que utiliza un o-eto principal para proar
su identidad. Un e-emplo ,aitual de con-unto de credenciales es el nomre de usuario y
la contrase/a.
cripto&rafa
La cripto)raf*a es el arte y la ciencia de la se)uridad de la informaci!n. Aarca la
confidencialidad" la inte)ridad y la autenticaci!n.
cuenta
Una cuenta es una entrada en la ase de datos de se)uridad que mantiene los atriutos
de se)uridad de un solo principal. La ase de datos de se)uridad puede ser la ase de
datos 1A+ o Active Directory.
Las cuentas pueden ser de dominio o locales.
cuenta de pro'y
?ea cuenta de servicio.
cuenta de servicio
Una cuenta de servicio es una cuenta confi)urada espec*ficamente #tamin conocida
como cuenta de pro8y&" que se utiliza e8clusivamente para tener acceso a un recurso
indirecto #a menudo una ase de datos& en una aplicaci!n distriuida de varios niveles.
Los componentes de nivel medio suelen utilizar un n0mero limitado de cuentas de
servicio para conectarse a una ase de datos y proporcionar la a)rupaci!n de la
cone8i!n. Las cuentas de servicio pueden ser cuentas de Windows mantenidas en
Active Directory o la ase de datos 1A+" o cuentas 1@L mantenidas en 1@L 1erver.
cuenta local
Una cuenta local es una cuenta de Windows que se mantiene y almacena en la ase de
datos 1A+ local de un equipo determinado. A diferencia de las cuentas de dominio" las
cuentas locales no se pueden utilizar para tener acceso a los recursos de la red" a
menos que se cree una cuenta local duplicada #con el mismo nomre y la misma
contrase/a& en el equipo remoto.
cuentas de dominio
Las cuentas de dominio son cuentas de Windows o de )rupo que se mantienen y
administran de forma centralizada en una ase de datos 1A+ de un controlador de
dominio o en Active Directory.
D
dele&acin
La dele)aci!n es una forma ampliada de suplantaci!n que permite a un proceso servidor
que traa-a en nomre de un cliente tener acceso a recursos de un equipo remoto.
=ereros proporciona esta capacidad de forma nativa en sistemas operativos Windows
2000 y posterior. La suplantaci!n convencional #por e-emplo" la que proporciona 3'L+&
permite 0nicamente un salto de red. $uando se utiliza la suplantaci!n de 3'L+" el salto
se realiza entre los equipos servidor y cliente" y se restrin)e el acceso del servidor a los
recursos locales durante la suplantaci!n.
derecho de acceso
Un derec,o de acceso es un atriuto de un testi)o de acceso que determina el tipo de
operaci!n que un determinado )rupo o usuario de Windows puede realizar en un o-eto
se)uro. Al)unos e-emplos de derec,os de acceso son. lectura" escritura" eliminaci!n"
e-ecuci!n" etc.
D+! ,estndar de cifrado de datos-
D41 es un cifrado de loques que cifra datos en loques de :; its. D41 es un al)oritmo
simtrico que utiliza el mismo al)oritmo y la misma clave para cifrar y descifrar. D41 ,a
sido reemplazado por D41 triple.
D+! triple
1e trata del cifrado D41 triple #AD41&. 4s una variaci!n del al)oritmo de cifrado de
loques D41 que cifra el te8to sin formato con una clave" cifra el te8to cifrado resultante
con una se)unda clave y" por 0ltimo" cifra el resultado del se)undo cifrado con una
tercera clave. D41 triple es un al)oritmo simtrico que utiliza el mismo al)oritmo y las
mismas claves para cifrar y descifrar.
descriptor de se&uridad ,!D-
Un descriptor de se)uridad #1D& contiene informaci!n de se)uridad asociada a un o-eto
ase)urale como un arc,ivo o proceso. Un descriptor de se)uridad contiene atriutos
que incluyen una identificaci!n del propietario del o-eto" los )rupos de se)uridad a los
que pertenece y dos listas de control de acceso #A$L&. la lista de control de acceso
discrecional #DA$L& que define los derec,os de acceso de cada usuario y )rupo de
usuarios" y la lista de control de acceso al sistema #1A$L& que define los tipos de
operaci!n que se e-ecutan en el o-eto y que deer*an )enerar mensa-es de auditor*a.
DPAP* ,AP* de proteccin de datos-
DPAP( es una AP( WinA2" disponile en sistemas operativos Windows 2000 y posterior"
que se utiliza para cifrar y descifrar datos. DPAP( pasa al sistema operativo el prolema
de administraci!n de claves asociado a las tcnicas de cifrado" ya que utiliza
contrase/as de cuentas de Windows para )enerar claves de cifrado.
+
+F! ,sistema de archivos de cifrado-
4l sistema de arc,ivos de cifrado #421& se incluye en los sistemas operativos Windows
2000 y posterior para proporcionar la capacidad de cifrado de arc,ivos en un volumen
3'21.
entidad emisora de certificados ,"A-
Una $A es una or)anizaci!n o entidad de confianza que emite certificados.
entrada de control de acceso ,A"+-
Una entrada de control de acceso #A$4& identifica a un usuario o )rupo de usuarios
concreto en una lista de control de acceso y especifica los derec,os de acceso de dic,o
usuario o )rupo de usuarios. Una entrada A$4 puede dene)ar o conceder derec,os de
forma e8pl*cita.
entropa
La entrop*a es una medida de incertidumre. 1e utiliza asociada a al)unas tecnolo)*as
de cifrado para introducir un )rado de aleatoriedad en el proceso de cifrado. Un valor de
entrop*a que se utiliza con una clave para cifrar datos dee utilizarse tamin para
descifrar datos.
equipo selector
Un equipo selector es una tecnolo)*a o susistema que se utiliza para proporcionar
control de acceso. Al)unos e-emplos de equipos selectores son ((1" el m!dulo
.rlAuthorizationModule de A1P.34' y el m!dulo FileAuthorizationModule de
A1P.34'.
e'tensin !/AP
Una e8tensi!n 1BAP es un mecanismo de e8tensiilidad admitido por A1P.34' que
permite e8tender el procesamiento de mensa-es de 1BAP. La e8tensi!n 1BAP permite
inspeccionar o modificar un mensa-e en determinadas etapas del ciclo de procesamiento
en el cliente o el servidor.
F
firma di&ital
La firma di)ital se utiliza en la autenticaci!n de mensa-es para )arantizar la validez del
emisor del mensa-e" la inte)ridad del mensa-e y la invariailidad de los datos durante el
tr6nsito. La firma de los datos no supone la alteraci!n de los mismos" sino 0nicamente la
creaci!n de una cadena de firma di)ital que se transmite con los datos.
Las firmas di)itales se crean con al)oritmos de firma de clave p0lica como el cifrado de
clave p0lica %1A.
firma di&ital 0M1
Una firma di)ital C+L es una firma di)ital que se aplica a un documento C+L.
funciones
Las funciones son identificadores l!)icos #como DAdministradorD o D4mpleadoD& que
utiliza una aplicaci!n para a)rupar a usuarios que comparten los mismos privile)ios de
se)uridad en la aplicaci!n. Al)unos e-emplos de tipos de funciones son las funciones
de .34'" las funciones de 1ervicios 4mpresariales #$B+E& y las funciones de ase de
datos que utiliza 1@L 1erver.
2
2eneric*dentity
2eneric*dentity es una implementaci!n de la interfaz **dentity que utiliza A1P.34' -unto
con los mecanismos de autenticaci!n mediante formularios y de Passport #y al)unas
veces la autenticaci!n personalizada&. 4l o-eto 2enericPrincipal contiene un o-eto
2eneric*dentity.
2enericPrincipal
2enericPrincipal es una implementaci!n de la interfaz *Principal que utiliza A1P.34'
-unto con los mecanismos de autenticaci!n mediante formularios y de Passport #y
posilemente la autenticaci!n personalizada&. $ontiene la lista de funciones #otenida
por la aplicaci!n de un almacn de datos personalizado& a las que pertenece el usuario.
4l o-eto 2enericPrincipal se ad-unta al conte8to de solicitudes We y se utiliza para la
autorizaci!n. $ontiene un o-eto 2eneric*dentity.
(
hash
Un ,as, es un valor numrico de lon)itud fi-a que identifica datos de forma un*voca. Los
valores ,as, se utilizan para comproar la inte)ridad de los datos que se env*an a travs
de canales no se)uros. Puede compararse el valor ,as, de los datos reciidos con el
valor ,as, de los datos que se enviaron para determinar si se alteraron los datos.
Los valores ,as, tamin se utilizan en las firmas di)itales. Dado que se pueden utilizar
valores ,as, peque/os para representar cantidades de datos de mayor tama/o" s!lo es
necesario firmar el ,as, de un mensa-e" en lu)ar de todos los datos del mismo.
*
identidad
La identidad se refiere a una caracter*stica de un usuario o servicio que puede
identificarlo de forma un*voca. Por e-emplo" a menudo es un nomre para mostrar que
suele tener la forma Fautoridad9nomre de usuarioG.
identidad del proceso
La identidad del proceso viene determinada por la cuenta de Windows que se utiliza para
e-ecutar un proceso e-ecutale. Por e-emplo" la identidad predeterminada del proceso de
traa-o de A1P.34' #aspnetHwp.e8e& es A1P34' #una cuenta de Windows local con
privile)ios m*nimos&.
La identidad del proceso determina el conte8to de se)uridad que se utiliza cuando el
c!di)o del proceso tiene acceso a recursos locales o remotos. 1i el c!di)o est6 en
suplantaci!n" la identidad del suproceso #determinada por el testi)o del suproceso&
proporciona el conte8to de se)uridad para tener acceso a los recursos.
implcita
?ea ,as,.
inicio de sesin
Un inicio de sesi!n define el conte8to de se)uridad en cada proceso que e-ecuta.
$uando se inicia una sesi!n en un equipo de forma interactiva" se crea un inicio de
sesi!n interactivo para alo-ar el 1,ell de Windows y cualquier proceso que se inicie de
forma interactiva. $uando un proceso se conecta en nomre de un usuario a un equipo
remoto" se utilizan las credenciales del usuario #almacenadas en la cac, del inicio de
sesi!n local& para controlar las solicitudes de autenticaci!n del equipo remoto. 1i el
proceso de autenticaci!n es correcto" se estalece un inicio de sesi!n de red en el
equipo remoto" que representa el traa-o realizado en nomre del usuario en el equipo
remoto.
inte&ridad
Los canales de comunicaci!n se)ura deen )arantizar adem6s la protecci!n de los
datos frente a modificaciones accidentales o delieradas #malintencionadas& durante el
tr6nsito. La inte)ridad suelen proporcionarla los c!di)os de autenticaci!n de mensa-es
#+A$&.
*P!ec ,se&uridad del protocolo *nternet-
(P1ec es una forma de se)uridad en el transporte. (P1ec se dise/! para cifrar datos
mientras se transmiten entre dos equipos para evitar que sean modificados o
interpretados.
3
4
4erberos
=ereros es un protocolo de autenticaci!n que admiten los sistemas operativos Windows
2000 y posterior. =ereros admite la forma ampliada de suplantaci!n denominada
dele)aci!n" que permite que el conte8to de se)uridad de un llamador ten)a acceso a los
recursos de la red y a los recursos locales del sistema operativo del servidor.
1
1DAP ,protocolo li&ero de acceso a directorios-
LDAP es un protocolo que se utiliza para tener acceso a servicios de directorio como
Active Directory.
lista de control de acceso ,A"1-
Una lista de control de acceso #A$L& es una lista ordenada de entradas de control de
acceso #A$4& ad-untas a un o-eto ase)urale. 4l sistema operativo Windows utiliza dos
tipos de A$L. una lista de control de acceso discrecional #DA$L& que se utiliza para
especificar los derec,os de acceso de un usuario o )rupo de usuarios y una lista de
control de acceso al sistema #1A$L& que se utiliza para determinar cu6ndo deen
)enerar mensa-es de auditor*a los tipos de acceso espec*ficos.
lista de control de acceso discrecional ,DA"1-
Una DA$L se asocia a un o-eto ase)urale #mediante un descriptor de se)uridad& y
especifica el con-unto de derec,os de acceso que se concede a los usuarios o )rupos de
usuarios. 4l propietario de un o-eto controla la DA$L" que consiste en una lista
ordenada de entradas de control de acceso #A$4& que determinan los tipos de
operaciones que puede e-ecutar un usuario o un )rupo de usuarios en el o-eto.
lista de revocaciones de certificados ,"51-
Una lista $%L es un documento que mantiene y pulica una entidad emisora de
certificados #$A& y que contiene los certificados emitidos por la $A que ya no son
v6lidos.
1o&on.ser
Lo)onUser es una AP( WinA2 que se utiliza para crear un inicio de sesi!n #y un testi)o
de acceso& para una cuenta de Windows especificada. 4l c!di)o que llama a
1o&on.ser dee ser parte del '$> del equipo" lo que si)nifica que dee e-ecutarse en
un proceso cuya cuenta de Windows ten)a concedido el privile)io DActuar como parte
del sistema operativoD.
1!A ,autoridad de se&uridad local-
La Autoridad de se)uridad local #L1A& es un susistema de Windows local que
proporciona servicios de autenticaci!n.
M
MA" ,cdi&o de autenticacin de mensa6es-
4l c!di)o de autenticaci!n de mensa-es es un valor ,as, que se a)re)a a un mensa-e
para proporcionar inte)ridad. $uando se utiliza un al)oritmo +A$ para )enerar un 5as,"
la aplicaci!n receptora dee tener tamin la clave de la sesi!n para volver a calcular el
valor ,as, y comproar que los datos del mensa-e no se ,an modificado.
modelo de subsistema de confianza
Un modelo de susistema de confianza es un modelo de acceso a recursos adoptado
por las aplicaciones We" en el que la aplicaci!n utiliza una identidad Dde confianzaD fi-a
para tener acceso a administradores de recursos indirectos como" por e-emplo" ases de
datos.
Un administrador de ases de datos define las funciones y permisos de se)uridad de la
identidad Dde confianzaD espec*fica en la ase de datos. 4ste modelo admite la
a)rupaci!n de la cone8i!n a la ase de datos" que facilita enormemente la escalailidad
de una aplicaci!n. 1e contrapone al modelo de suplantaci!n9dele)aci!n.
modelo de suplantacin7dele&acin
Un modelo de suplantaci!n9dele)aci!n es un modelo de acceso a recursos que
transmite el conte8to de se)uridad del llamador ori)inal" a travs de sucesivos niveles de
aplicaci!n" a los administradores de recursos del servidor. De esta forma" los
administradores de recursos pueden implementar decisiones de autorizaci!n asadas en
la identidad del llamador ori)inal.
1e contrapone al modelo de susistema de confianza que utiliza identidades Dde
confianzaD fi-as para tener acceso a los recursos.
mdulo ())P
Un m!dulo 5''P es un m!dulo que utiliza A1P.34' para procesar solicitudes We. Un
m!dulo 5''P es un ensamlado que implementa la interfaz *httpModule y controla
eventos. A1P.34' utiliza una serie de m!dulos inte)rados" como los m!dulos de
autenticaci!n" el m!dulo de estado de la sesi!n y el m!dulo de la cac, )loal. 4s
posile desarrollar m!dulos 5''P personalizados y conectarlos a la canalizaci!n de
procesamiento 5''P de A1P.34'.
8
8)1M
3'L+ #Windows 3' LA3 +ana)er& es un protocolo de autenticaci!n desaf*o9respuesta
que se utiliza en redes con sistemas que e-ecutan versiones del sistema operativo
+icrosoft Windows 3' anteriores a Windows 2000 y en sistemas independientes.
/
P
par de claves
Un par de claves es un par formado por una clave p0lica y una privada que pertenecen
a una entidad y se utilizan para cifrar y descifrar datos.
perfil de usuario
Los perfiles de usuario contienen la informaci!n de confi)uraci!n de un usuario. 4sta
informaci!n incluye la or)anizaci!n del escritorio" los )rupos de pro)ramas personales"
los elementos de pro)rama" los colores de pantalla" los protectores de pantalla" las
cone8iones de red" etc. $uando un usuario inicia una sesi!n de forma interactiva" el
sistema car)a el perfil del usuario y confi)ura el entorno se)0n la informaci!n del perfil.
La AP( 1oad.serProfile se puede utilizar para car)ar el perfil de usuario mediante
pro)ramaci!n. Las cuentas no interactivas como la cuenta A1P34' local que se utiliza
para e-ecutar aplicaciones We A1P.34' no tienen un perfil de usuario.
P4"! ,estndares de cripto&rafa de clave p#blica-
P=$1 es un con-unto de est6ndares de sinta8is para la cripto)raf*a de clave p0lica que
aarca funciones de se)uridad como" por e-emplo" los mtodos para firmar datos"
intercamiar claves" solicitar certificados" y cifrar y descifrar claves p0licas.
principal
Un principal es una entidad #normalmente una persona" un equipo" una aplicaci!n o un
servicio& que intenta tener acceso a un recurso o aplicaci!n se)uros&. Un principal tiene
un nomre un*voco y al)una forma de proporcionar su identidad a otros principales en un
sistema.
principio de privile&io mnimo
4l principio de privile)io m*nimo es el concepto de e-ecutar c!di)o e-ecutale con la
identidad del proceso m6s dil posile. De esta forma se limitan los posiles da/os
producidos en caso de que la se)uridad del proceso se viera comprometida.
1i un usuario malintencionado lo)ra insertar c!di)o en un proceso del servidor" los
privile)ios concedidos a dic,o proceso determinan en )ran medida los tipos de
operaciones que puede e-ecutar dic,o usuario.
privacidad
La privacidad consiste en )arantizar la confidencialidad de los datos para que no puedan
ser visualizados por usuarios malintencionados con software de supervisi!n de la red. La
privacidad suele proporcionarse mediante el cifrado.
privile&io
Un privile)io es el derec,o de un usuario de e-ecutar diversas operaciones relacionadas
con el sistema como" por e-emplo" cerrar el sistema" car)ar controladores de dispositivos
o camiar la ,ora del sistema. 4l testi)o de acceso de un usuario contiene una lista de
privile)ios del usuario o del )rupo de usuarios.
9
5
5":
%$2 es el nomre del al)oritmo $ryptoAP( para el al)oritmo %$2.
5"%
%$; es el nomre del al)oritmo $ryptoAP( para el al)oritmo %$;.
5!A
%1A Data 1ecurity" (nc." es uno de los principales desarrolladores y pulicadores de
est6ndares de cripto)raf*a de clave p0lica. 4l nomre %1A responde a las iniciales de
los nomres de los tres desarrolladores y propietarios de la empresa. %ivest" 1,amir y
Adleman.
!
!A"1 ,lista de control de acceso al sistema-
Una 1A$L se asocia a un o-eto ase)urale #mediante un descriptor de se)uridad& y
especifica los tipos de operaciones e-ecutadas por usuarios concretos que deer*an
)enerar mensa-es de auditor*a.
se&uridad de acceso al cdi&o
La se)uridad de acceso al c!di)o es una forma de se)uridad de .34' que se utiliza para
controlar el acceso del c!di)o a los recursos prote)idos.
servidor de aplicaciones
Un servidor de aplicaciones es un equipo servidor dedicado" independiente de un
servidor We cliente. 4l servidor de aplicaciones suele alo-ar servicios We"
componentes remotos o aplicaciones de 1ervicios 4mpresariales que contienen la
mayor*a de la l!)ica empresarial de una aplicaci!n.
!(A ,al&oritmo hash se&uro-
15A es un al)oritmo que se utiliza para )enerar un valor ,as, o impl*cito. 4l al)oritmo
15A ori)inal ,a sido reemplazado por el al)oritmo 15A7 me-orado.
!*D ,identificador de se&uridad-
Un identificador de se)uridad #1(D& identifica de forma un*voca a un usuario o a un )rupo
de usuarios en un dominio. Un 1(D es un valor de lon)itud variale formado por un nivel
de revisi!n" un valor de la autoridad que autentica #el emisor del 1(D" que suele ser
Windows&" un con-unto de valores de suautoridad #normalmente el dominio de la red& y
un identificador relativo #%(D&" que es 0nico en la cominaci!n de autoridad9suautoridad
que autentica.
Los 1(D nunca se reutilizan" incluso cuando se elimina una cuenta de usuario y se
vuelve a crear con la misma cominaci!n de nomre y contrase/a.
sin repudio
$apacidad de identificar a los usuarios que e-ecutan determinadas acciones" lo que
contrarresta irrefutalemente cualquier intento de dene)aci!n de responsailidad por
parte del usuario. Por e-emplo" un sistema puede re)istrar el (d. de un usuario cuando se
elimina un arc,ivo.
!/AP
1BAP es un protocolo li)ero asado en C+L para intercamiar informaci!n en un
entorno distriuido. Lo utilizan los servicios We.
!!1 ,nivel de soc;ets se&uro-
11L es un protocolo de se)uridad de las comunicaciones de red que utiliza una
cominaci!n de tecnolo)*a de claves secretas y p0licas.
!!P* ,interfaz del proveedor de compatibilidad con
se&uridad-
11P( es una interfaz com0n entre aplicaciones de transporte" como la llamada a
procedimiento remoto de +icrosoft #%P$&" y proveedores de se)uridad" como el
proveedor de autenticaci!n inte)rada de Windows. 11P( permite que una aplicaci!n de
transporte llame a uno de los diversos proveedores de se)uridad para otener una
cone8i!n autenticada de manera uniforme.
suplantacin
La suplantaci!n es la tcnica que utiliza una aplicaci!n servidor para tener acceso a los
recursos en nomre de un cliente" mediante una copia del testi)o de acceso del cliente.
Para facilitar la )eneraci!n del testi)o de acceso de un cliente en un equipo servidor" el
cliente dee pasar su identidad a la aplicaci!n servidor" a travs de la red.
?ea tamin suplantaci!n principal fi-a.
suplantacin principal fi6a
La suplantaci!n principal fi-a es una forma de suplantaci!n que utiliza A1P.34'" en la
que la identidad representada permanece constante independientemente de la identidad
del llamador autenticado. 3ormalmente" la identidad suplantada viene determinada por la
identidad del llamador. La identidad que se utiliza para la suplantaci!n principal fi-a se
especifica mediante los atriutos user8ame y pass<ord del elemento IidentityJ en el
arc,ivo We.confi). A continuaci!n se muestra un e-emplo.
<identity userName="Bob" password="password" />
)
)" ,base de computacin de confianza-
Una '$> es un l*mite que define la parte de un sistema en la que se conf*a para e8i)ir la
directiva de se)uridad. 4l c!di)o e-ecutale que se e-ecuta en la '$> puede realizar
operaciones sin ser o-eto de las comproaciones de se)uridad ,aituales. Los
controladores de dispositivos se e-ecutan en la '$>. 4l c!di)o de usuario se e-ecuta en
la '$> si la cuenta del proceso asociado tiene el privile)io DActuar como parte del
sistema operativoD. 4l c!di)o de usuario que se e-ecuta en la cuenta 1(1'4+A local
tamin se e-ecuta en los l*mites de la '$>.
testi&o
?ea testi)o de acceso.
testi&o de acceso
Un testi)o de acceso es una estructura de datos ad-unta a cada proceso de Windows.
+antiene informaci!n del conte8to de se)uridad del proceso" que incluye un 1(D de
usuario que identifica el principal que representa al inicio de sesi!n y los atriutos de
autorizaci!n" como los privile)ios y los 1(D del )rupo del usuario.
$ada testi)o de acceso se asocia e8actamente con un inicio de sesi!n" mientras que un
inicio de sesi!n puede contener varios testi)os de acceso" uno por cada proceso que se
inicie en la sesi!n y" opcionalmente" otros testi)os del suproceso ad-untos a
suprocesos individuales.
testi&o de suplantacin
?ea testi)o del suproceso.
testi&o del subproceso
Un testi)o del suproceso es un testi)o de acceso temporal asociado a un determinado
suproceso. $uando se crea un suproceso" no tiene testi)o de acceso y las
operaciones se)uras que realiza el suproceso utilizan la informaci!n otenida del
testi)o del proceso. Una situaci!n t*pica en la que un suproceso adquiere un testi)o de
acceso es cuando un suproceso de un proceso servidor desea traa-ar en nomre de
un cliente. 4n tal situaci!n" el suproceso representa al cliente mediante la adquisici!n
de un testi)o de acceso.
Los testi)os del proceso tamin se denominan testi)os temporales y testi)os de
suplantaci!n.
testi&o temporal
?ea testi)o del suproceso.
te'to cifrado
4l te8to cifrado son datos que se ,an cifrado.
te'to sin cifrar
4l te8to sin cifrar son datos que no se ,an cifrado.
te'to sin formato
?ea te8to sin cifrar.
.
=
valor salt
4l valor salt son datos aleatorios que pueden utilizarse -unto con los datos cifrados o
,as, para aumentar las defensas necesarias para prote)er los datos de ataques de
diccionario por fuerza ruta. 1e suele colocar delante de los datos cifrados o ,as,.
>
>indo<s*dentity
>indo<s*dentity es una implementaci!n de la interfaz **dentity que utiliza A1P.34'
-unto con la autenticaci!n de Windows. Un o-eto >indo<s*dentity e8pone el testi)o de
acceso de Windows del usuario -unto con la informaci!n del nomre de usuario. 4l o-eto
>indo<sPrincipal contiene un o-eto >indo<s*dentity.
>indo<sPrincipal
>indo<sPrincipal es una implementaci!n de la interfaz *Principal que utiliza A1P.34'
-unto con la autenticaci!n de Windows. A1P.34' a)re)a un o-eto >indo<sPrincipal al
conte8to de la solicitud We actual para representar al llamador autenticado. 1e utiliza
para la autorizaci!n.
4l o-eto >indo<sPrincipal contiene el con-unto de funciones #)rupos de Windows& a
las que pertenece el usuario. 'amin contiene un o-eto >indo<s*dentity que
proporciona informaci!n acerca de la identidad del llamador.
0
?
@