Criptografía: Algoritmos y Claves

Criptografía

• Criptografía consiste en aplicar un algoritmo a un documento original para crear un documento cifrado que no se puede entender directamente.
• El destinatario aplica el algoritmo para recuperar el documento original.
• La privacidad se asegura con una clave, un conjunto de valores que, combinados con el documento original, generan un documento cifrado.
• Con solo el documento cifrado, es imposible deducir el documento original o la clave utilizada.
• Las claves son combinaciones de símbolos como letras, números y signos de puntuación.
• Medidas para evitar ataques de fuerza bruta o de diccionario:
• Usar claves largas.
• Cambiar la clave regularmente.
• Utilizar todos los tipos de caracteres posibles.
• No usar palabras fáciles de identificar.
• Detectar intentos fallidos repetidos rápidamente e informar sobre ellos.
• Una función HASH es un algoritmo matemático que transforma cualquier bloque de datos en una serie de caracteres de longitud fija.
• El valor hash de salida siempre tiene la misma longitud, independientemente de la longitud de los datos de entrada.
• Dos técnicas sencillas de cifrado:
• Sustitución: Cambia el significado de los elementos básicos del mensaje (letras, dígitos, símbolos); por ejemplo, el Cifrado de Polibios.
• Transposición: Reordena los elementos básicos sin modificarlos; por ejemplo, la Escítala.

Tipos de Algoritmos de Cifrado

Algoritmo Simétrico

• Las partes que se comunican deben acordar una clave única de antemano.
• La fortaleza del cifrado debe residir en la clave, no en el algoritmo.
• Si la clave es desconocida, el mensaje no puede ser descifrado.
• Características:
• Clave única compartida entre emisor y receptor para cifrar y descifrar.
• Alta velocidad y baja complejidad, adecuado para grandes volúmenes de información.
• Requiere métodos seguros para la distribución de claves compartidas.
• Vulnerable en el intercambio de claves.
• Implementa confidencialidad, pero no integridad, disponibilidad, autenticación y no repudio.
• Ejemplos: AES (Advanced Encryption Standard), DES (Data Encryption Standard) y Blowfish.

Algoritmo Asimétrico

• Se utilizan un par de claves creadas juntas: una pública y una privada.
• Características:
• La clave pública se comparte abiertamente, mientras que la clave privada se mantiene en secreto.
• Los datos cifrados con la clave pública solo se pueden descifrar con la clave privada, y viceversa.
• Ofrece seguridad en el intercambio de claves.
• Mayor carga computacional, resulta más lento y requiere más recursos.
• Se usa para comprobación de identidad e intercambio de claves, no para grandes volúmenes de datos.
• Implementa confidencialidad, integridad, autenticación y no repudio, pero no disponibilidad.
• Ejemplos: RSA (RivestShamir-Adleman), DSA (Digital Signature Algorithm) y ECC (Elliptic Curve Cryptography).
• Tabla comparativa:
• Claves:
• Simétrica: Una sola clave compartida.
• Asimétrica: Par de claves: pública y privada.
• Velocidad:
• Simétrica: Rápida y eficiente.
• Asimétrica: Lenta y con necesidad de muchos recursos.
• Gestión de claves:
• Simétrica: Compleja, especialmente en sistemas grandes.
• Asimétrica: Sencilla debido a la clave pública.
• Seguridad:
• Simétrica: Depende de la seguridad de la compartición clave.
• Asimétrica: Segura.
• Usos:
• Simétrica: Grandes volúmenes de datos: cifrado de datos, de sistemas de archivos, de disco.
• Asimétrica: Intercambio de claves, firma digital.

Algoritmo Híbrido

• Utilizado en la mayoría de las aplicaciones.
• Utiliza Criptografía asimétrica (más segura) para intercambiar claves simétricas.
• Se emplea Criptografía simétrica (más eficiente) para la transmisión de información.
• El protocolo SSH es un ejemplo.

Firma Digital

• Mecanismo que garantiza que el emisor sea quien dice ser.
• Permite verificar la autenticidad del origen y que la información no ha sido modificada.
• Asegura autenticación, integridad y no repudio en origen.
• Tiene el mismo propósito que una firma manuscrita, pero no se puede falsificar a menos que se descubra la clave privada.
• La firma digital es un cifrado del mensaje utilizando la clave privada en lugar de la pública.
• Proceso:
• El emisor aplica una función hash al documento, creando una huella digital que garantiza la integridad.
• El documento original y la firma digital (el hash cifrado con la clave privada) se envían al destinatario.
• El receptor calcula el hash del documento y descifra la firma digital con la clave pública del emisor.
• Si ambos hashes coinciden, el documento es íntegro y proviene del firmante legítimo; de lo contrario, ha sido alterado o no fue creado por el firmante.

Certificado Digital

• También se conoce como Terceras partes de confianza.
• La solución para realizar comunicaciones seguras entre máquinas de diferentes empresas es la implementación de una PKI (Public Key Infrastructure o Infraestructura de clave pública).
• Instituciones involucradas:
• Autoridad de Certificación (CA): Emite y gestiona certificados digitales, verificando la identidad del solicitante. Ejemplo: FNMT.
• Autoridad de Registro (RA): Verifica la identidad del solicitante en nombre de la CA. Ejemplo: INSS, comisarías.
• Autoridad de Validación (VA): Comprueba la validez de los certificados digitales emitidos.
• Repositorio de Certificados (CR): Base de datos donde se almacenan los certificados y las listas de revocación (CRL).
• Lista de Revocación de Certificados (CRL): Permite saber si un certificado ha sido revocado antes de su expiración.
• Para autenticar una clave pública mediante PKI se requiere:
• Que el servidor haya conseguido que una CA firme su clave pública.
• Que el cliente disponga de la clave pública de la CA.

Firewall

• Parte del sistema informático que bloquea el tráfico no autorizado y permite el autorizado.
• Se puede implementar por hardware o software y fiscaliza el tráfico entrante en la LAN.
• También analiza el tráfico procedente de la propia LAN con destino a los servidores internos.
• Iptables es un cortafuegos del núcleo de Linux que filtra paquetes de red según reglas establecidas.
• Se indica el tipo de paquetes a permitir, los puertos, el protocolo y otra información relacionada con el intercambio de datos.
• Filtra por las capas del modelo OSI:
• Capa Física → Interfaces.
• Capa de Enlace de Datos → Direcciones MAC.
• Capa de Red → Direcciones IP.
• Capa de Transporte → Protocolo TCP/UDP.
• Capa de Aplicación → Protocolos / Aplicaciones.
• Cuando se recibe o envía un paquete, el sistema busca una regla que cumpla las condiciones y aplica la acción indicada.

Monitorización de Redes Cableadas

• Estrategias para evitar la monitorización en redes cableadas:
• Cifrado de la Comunicación: Uso de protocolos como TLS o IPsec para proteger la información transmitida.
• Segmentación de la Red: Dividir la red en segmentos más pequeños y seguros con reglas de acceso estrictas.
• Uso de Redes Privadas Virtuales (VPN): Cifra todo el tráfico entre un dispositivo y la red.
• SSH y HTTPS: Usar conexiones seguras para acceder a dispositivos o servicios dentro de la red.
• Utilizar Sistemas de Detección de Intrusiones (IDS): Analizan el tráfico en tiempo real en busca de patrones sospechosos.
• Actualización de Firmware: Mantener actualizados todos los dispositivos de red (switches, routers, etc.).
• Asegurar la Seguridad Física: Proteger el acceso a los dispositivos de red.

Monitorización de Redes Inalámbricas

• Estrategias para evitar la monitorización en redes inalámbricas:
• Cifrar la Comunicación: Utilizar protocolos de cifrado avanzado como WPA2 y WPA3.
• Uso de Redes Privadas Virtuales (VPN): Cifra todo el tráfico entre el dispositivo y la red.
• Desactivar la difusión de SSID: Ocultar el nombre de la red para evitar conexiones no autorizadas.
• Filtrado por direcciones MAC: Permitir solo dispositivos específicos a través de sus direcciones MAC.
• Reducir la potencia de la señal: Ajustar la potencia para que solo cubra el área deseada.
• Sistemas de detección de intrusiones de redes inalámbricas (WIDS): Analizan el tráfico en tiempo real en busca de patrones sospechosos.
• Segmentación de la red: Dividir la red en segmentos más pequeños con reglas de acceso más estrictas.
• Deshabilitar WPS (Wi-Fi Protected Setup): Evitar el uso de WPS para conectar dispositivos a la red.
• SSH y HTTPS: Usar conexiones seguras para acceder a dispositivos o servicios dentro de la red.

Las Redes Cableadas

• Son aquellas en las que la transmisión se realiza a través de cables (cobre o fibra óptica) mediante ondas eléctricas.
• Protocolos de seguridad esenciales para proteger la confidencialidad, integridad y disponibilidad de los datos:
• MACsec (Media Access Control Security): Cifra y autentica el tráfico en la capa 2 entre dispositivos conectados directamente.
• IPsec (Internet Protocol Security): Cifra y autentica el tráfico en la capa 3, usado en VPNs para asegurar conexiones entre redes.
• SSL/TLS (Secure Sockets Layer / Transport Layer Security): Protegen la comunicación en la capa 4, usado para proteger aplicaciones específicas.
• 802.1X (Control de Acceso a la Red): Autenticación para redes cableadas (y también inalámbricas) que verifica la identidad de los dispositivos antes de permitirles acceso.
• SSH (Secure Shell): Proporciona acceso remoto seguro a otros dispositivos, utilizado principalmente para la administración remota. Reemplaza a protocolos no seguros como Telnet.
• RADIUS (Remote Authentication Dial-In User Service): Autenticación y autorización que centraliza el control de acceso a la red, usado con 802.1X.
• Kerberos: Utiliza tickets y claves criptográficas para garantizar una autenticación segura en la red.
• SNMPv3 (Simple Network Management Protocol v3): Versión segura del protocolo de administración de red que permite a los administradores monitorear y gestionar dispositivos en la red.
• SFTP (SSH File Transfer Protocol): Transferencia segura de archivos basada en SSH.

Redes Inalámbricas

• Transmisión que se realiza sin necesidad de cables, a través de ondas electromagnéticas.
• Menor coste y sencillez en su instalación así como menor rendimiento y seguridad.
• La seguridad inalámbrica funciona mediante autenticación y cifrado.
• Clasificación por cobertura:
• WPAN (Wireless Personal Area Network): Bluetooth, Zigbee, RFID. Sigue la norma IEEE 802.15.
• WLAN, (Wireless Local Area Network): Wi-Fi. Sigue la norma IEEE 802.11. Bandas de frecuencia: 2,4GHz, 5 GHz y 6 GHz y también apareciendo 7 GHz.
• WMAN (Wireless Metropolitan Area Network): WiMAX. Sigue la norma IEEE 802.16.
• Protocolos de seguridad:
• WEP (Wired Equivalent Privacy): Primer protocolo de seguridad para WLAN. Autenticación abierta o con clave compartida. Cifrado RC4.
• WPA (WiFi Protected Access): Sustituto de WEP. Cifrado TKIP (Temporary Key Integrated Protocol). Autenticación WPA Personal (clave compartida) y WPA Enterprise (usuario y contraseña).
• WPA2: Mejora en seguridad. Cifrado AES (Advanced Encryption System).
• WPA3: Mejora la seguridad incorporando OWE (Opportunictic Wireless Encripytion).

Introducción a la Seguridad de la Información

• La seguridad en la transmisión de la información es fundamental para proteger los datos al enviarlos entre dispositivos a través de redes.
• Métodos para garantizar la confidencialidad, integridad, autenticidad y el no repudio de la información transmitida.

Seguridad Perimetral

• Concepto: La seguridad se concentra en un punto (firewall) para controlar todo el tráfico entrante y saliente en una red corporativa interconectada a una red pública y los peligros que esto conlleva.
• Objetivos:
• Prevención de acceso no autorizado.
• Detección de amenazas.
• Control del tráfico de red.
• Protección de la información sensible.
• Mitigación de ataques externos.
• Mantenimiento de la disponibilidad.

Arquitectura

• Arquitectura no basada en seguridad perimetral: Seguridad por Nodos:
• Puede proteger del tráfico externo e interno.
• Vuelve a ser una opción gracias a la automatización y cloud computing.
• Seguridad Perimetral: Arquitecturas de red basada en Red Interna y en DMZ:
• Concentra la configuración en pocos nodos.
• Nodos fuertemente configurados y monitorizados.
• Elección tradicional en el ámbito corporativo.
• Características de la seguridad perimetral basada en DMZ:
• Zona Desmilitarizada (Demilitarized Zone)
• Red separada (física o lógica) donde se ubican los servidores que deben ser accesibles desde otra red.

Servicios en Red

• Las empresas deben gestionar y controlar los servicios en red para asegurar una infraestructura eficiente y segura.
• Es fundamental identificar los servicios necesarios y desactivar los innecesarios.
• El proceso incluye:
• Identificar servicios de red existentes: Realizar una auditoría de la infraestructura y mantener actualizada la documentación.
• Usar herramientas de monitoreo y descubrimiento de red: Herramientas de escaneo (Nmap) y monitoreo continuo (Nagios, Zabbix, PRTG).
• Utilizar Sistemas de Gestión de Activos (ITAM): CMDB para mantener un registro de los activos de la red y sus cambios.
• Clasificar y catalogar servicios de red: Clasificar por tipo o nivel crítico y documentar detalladamente.
• Establecer protocolos de gestión y control: Asignar responsabilidades, establecer métricas y generar alertas.
• Implementar un sistema de registro centralizado: Base de datos centralizada para registrar y actualizar la información de los servicios.
• Crear políticas de seguridad: Incluir actuaciones como respaldo de servicios críticos, plan de recuperación y control de acceso.

Ingeniería Social

• Técnica de manipulación que explota el factor humano para ganar la confianza de los usuarios y conseguir acceso a información privada valiosa.
• Objetivos:
• Alterar o corromper datos para causar daños.
• Robar información personal, acceso a sistemas o dinero.
• Técnicas:
• Pretexting: Fingir ser alguien de confianza para obtener información confidencial.
• Phishing: Suplantar a entidades conocidas a través de correos electrónicos para robar información o controlar el equipo.
• Sextorsión: Chantaje con divulgar contenido sexual comprometido.
• Baiting: Ofrecer un cebo atractivo para que la víctima instale software malicioso.
• Smishing: Phishing realizado mediante SMS.
• Vishing: Fraude por teléfono suplantando a una entidad de confianza.
• Shoulder Surfing: Robo de datos personales al observar a la víctima.
• Quid pro quo: Prometer beneficios a cambio de información personal.
• Dumpster diving: Robo de información útil de la basura.
• Redes sociales: Usar cupones y concursos falsos para robar información.

Control del Ancho de Banda

• Es la cantidad máxima de datos que una red puede transmitir en un tiempo determinado (Mbps o Gbps).
• Crucial para la seguridad, el rendimiento, la estabilidad de la red y la optimización de los recursos.
• Motivos para realizar ese control:
• Evitar la saturación de la red.
• Garantizar la calidad del servicio (QoS) en aplicaciones prioritarias.
• El tráfico de red sin control puede ser un indicador de problemas de seguridad.
• Detectar y controlar el acceso no autorizado.
• Optimizar los recursos.
• Cumplir las políticas y normativas de seguridad.
• Herramientas y técnicas:
• Herramientas de monitorización: Identifican patrones y comportamientos sospechosos.
• Firewalls: Filtran el tráfico para permitir solo el autorizado.
• Sistemas de Detección de intrusos (IDS): Detectan patrones sospechosos y alertan sobre amenazas.
• Sistemas de Prevención de intrusos (IPS): Detienen y bloquean automáticamente actividades maliciosas.
• Calidad del servicio (QoS): Prioriza el tráfico de aplicaciones críticas.