-------------------------------------------------SERVIDOR DE AUTENTICACIN -------------------------------------------------Motivacin La autenticacin es la prueba de que alguien es, quin dice ser.

Componentes de la Autenticacin Triple A Autenticacin Autorizacin Registro (Accounting) Clasificacin de los mecanismos de autenticacin Por lo que tienes (Tarjeta inteligente/Tokens) Por lo que sabes (Contrasea) Por lo que eres (Controles biomtricos) Usuario y Contrasea Conocido tambin como credenciales Existe un sistema local o remoto que se encarga de validar la contrasea. Si el control pasa entonces se da autorizacin del acceso al usuario. Controles Biomtricos Verifican la identidad del individuo Se valida versus una base de datos de footprints(Huellas digitales) Se puede reconocer mltiples partes del cuerpo: iris, facial, huellas dactilares, etc. Token de seguridad Es un dispositivo generalmente USB que se le asigna al usuario. El dispositivo tiene una vida til. Genera claves aleatorias cada vez que se utiliza. Las claves son corroboradas con un sistema que las valida y da acceso. Tarjeta Inteligente Posee informacin de contacto de la persona. Tiene un chip interno que contiene la informacin. Quin posee la tarjeta, a su vez posee el acceso. Solucin ideal Cada solucin por separado tiene sus vulnerabilidades, es mejor unirlas. Combinar varios mecanismos de autenticacin para poder hacer ms seguro el sistema de acceso. Autenticacin en red La autenticacin en una red de datos se debe hacer de manera centralizada. En redes corporativas existe soluciones de autenticacin cifradas que impiden la obtencin de las credenciales. Estas soluciones se basan generalmente en el protocolo kerberos. La ms popular es la de Microsoft conocida como Active Directory que implementa autenticacin (kerberos) + directorio (LDAP). ---------------------------------ACTIVE DIRECTORY ---------------------------------Active Directory (AD) es un repositorio de objetos entre los cuales tenemos: Usuarios. Grupo de Usuarios: Para dar permisos a un grupo especfico. Permisos. Asignacin de Errores. Polticas de Acceso: Por ejemplo, ningn usuario puede cambiar la configuracin de la tarjeta de red, etc

Entre los objetivos de implementar un Servicio Active Directory tenemos: Mantener todos los usuarios y todas las contraseas en un solo lugar. Permite la gestin y el control de redes grandes y extensas. Compartir recursos dentro de la red, tales como impresoras, carpetas compartidas, dispositivos de almacenamiento, etc. Controlar accesos y mejorar la seguridad mediante la autenticacin de usuarios. LDAP: guarda los objetos en una base de datos. DNS: son los dominios. DHCP: va ligado al DNS. Kerberos: es el que mantiene la seguridad, es el ms potente. Para que la red funciones bien se configura bien la hora y se configura bien el DNS. Unidades Organizativas: Son unidades a los cuales no se le darn permisos de objetos sino que se le darn polticas, es decir, asignar polticas a usuarios. --------------Adicional --------------Active Directory (AD) es el trmino que usa Microsoft para referirse a su implementacin de servicio de directorio en una red distribuida de computadores. Utiliza distintos protocolos (principalmente LDAP, DNS,DHCP, Kerberos...). Su estructura jerrquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignacin de recursos y polticas de acceso.1 Active Directory permite a los administradores establecer polticas a nivel de empresa, desplegar programas en muchos ordenadores y aplicar actualizaciones crticas a una organizacin entera. Un Active Directory almacena informacin de una organizacin en una base de datos central, organizada y accesible. Pueden encontrarse desde directorios con cientos de objetos para una red pequea hasta directorios con millones de objetos. LDAP son las siglas de Lightweight Directory Access Protocol (en espaol Protocolo Ligero de Acceso a Directorios) que hacen referencia a un protocolo a nivel de aplicacin el cual permite el acceso a unservicio de directorio ordenado y distribuido para buscar diversa informacin en un entorno de red. LDAP tambin es considerado una base de datos (aunque su sistema de almacenamiento puede ser diferente) a la que pueden realizarse consultas. Domain Name System o DNS (en castellano: sistema de nombres de dominio) es un sistema de nomenclatura jerrquica para computadoras, servicios o cualquier recurso conectado a Internet o a una red privada. Este sistema asocia informacin variada con nombres de dominios asignado a cada uno de los participantes. El servidor DNS utiliza una base de datos distribuida y jerrquica que almacena informacin asociada a nombres de dominio en redes como Internet. DHCP (sigla en ingls de Dynamic Host Configuration Protocol - Protocolo de configuracin dinmica de host) es un protocolo de red que permite a los clientes de una red IP obtener sus parmetros de configuracin automticamente. Se trata de un protocolo de tipo cliente/servidor en el que generalmente un servidor posee una lista de direcciones IP dinmicas y las va asignando a los clientes conforme stas van estando libres, sabiendo en todo momento quin ha estado en posesin de esa IP, cunto tiempo la ha tenido y a quin se la ha asignado despus. Kerberos es un protocolo de autenticacin de redes de ordenador que permite a dos computadores en una red insegura demostrar su identidad mutuamente de manera segura. Sus diseadores se concentraron primeramente en un modelo de cliente-servidor, y brinda autenticacin mutua: tanto cliente como servidor verifican la identidad uno del otro. Los mensajes de autenticacin estn protegidos para evitareavesdropping y ataques de Replay. Kerberos se basa en criptografa de clave simtrica y requiere un tercero de confianza. Adems, existen extensiones del protocolo para poder utilizar criptografa de clave asimtrica. ------------------------CRIPTOGRAFA ------------------------Es otra de las seguridades de la red. Consiste en convertir un texto en algo que slo puede ser ledo por el destinatario. Una rama de la criptologa es la criptografa, que se ocupa del cifrado de mensajes. Esta se basa en que el emisor emite un mensaje en claro, que es tratado mediante un cifrador con la ayuda de una clave, para crear un texto cifrado. Este texto cifrado, por medio del canal de comunicacin establecido, llega al descifrador que convierte el texto cifrado, apoyndose en otra clave, para obtener el texto en claro original. Las dos claves implicadas en el proceso de cifrado/descifrado pueden ser o no iguales dependiendo del sistema de cifrado utilizado. Cifrados de datos y Firmas digitales 2

Algoritmos de cifrado. Entidad certificadora. Firma digital. Cifrado de la red de datos. Cifrado entre redes VPN.

Cifrado Una manera de proteger a informacin que pasa por redes inseguras es cifrarla. La encriptacin es el proceso de convertir la informacin en una forma codificada que slo las partes autorizadas podrn accederlas. Solo quin tenga el password o la clave de desencriptacin puede decodificar y leer. La encriptacin promueve la confidencialidad de la informacin. Funciones del cifrado Confidencialidad: Destinado a una sola persona.

Autenticacin: Es cuando el que enva el correo es quien dice ser. Integridad: No ha sido adulterada la informacin desde el principio hasta el final de la descarga sin
adulteraciones. No-Repudio: Es cuando no hay manera de decir que una persona NO envi el mensaje.

Algoritmos de cifrado Un algoritmo es un conjunto de instrucciones que trabajan en conjunto con un clave para cifrar y decifrar datos. La fuerza del cifrado depende de: La fuerza del algoritmo El secreto de la clave. El uso de un algoritmo depende del valor de la informacin a cifrar. Tipos de algoritmos de Cifrado Tipo Simtrico Asimtrico Ventaja Clave nica Claves de cifrado y descifrado diferentes. Desventajas Requiere que el que enva y el que recibe se pongan de acuerdo antes de la transmisin. Mtodo lento de cifrado. Seguridad comprometida cuando se publican claves falsas

Algoritmos simtricos Es rpido de descifrar, as como se hace se deshace (clave nica). Los sistemas de cifrado simtrico son aquellos que utilizan la misma clave para cifrar y descrifrar un documento. El principal problema de seguridad reside en el intercambio de claves entre el emisor y el receptor ya que ambos deben usar la misma clave. Por lo tanto se tiene que buscar tambin un canal de comunicacin que sea seguro para el intercambio de la clave.Es importante que dicha clave sea muy difcil de adivinar ya que hoy en da los ordenadores pueden adivinar claves muy rpidamente. Por ejemplo el algoritmo de cifrado DES usa una clave de 56 bits, lo que significa que hay 72 mil billones de claves posibles. Stream (flujo) Operan en el texto plano un bit a la vez. (bit por bit se descifra)

Block (Bloque) Trabajan en grupos de bits agrupados en bloques. (grupos de 56 bits, 30 bits y se aplica el
algoritmo) Ejemplos: DES, AES

Algortimos asimtricos Claves diferentes para que una persona no lo pueda descifrar. Tambin son llamados sistemas de cifrado de clave pblica. Este sistema de cifrado usa dos claves diferentes. Una es la clave pblica y se puede enviar a cualquier persona y otra que se llama clave privada, que debe guardarse para que nadie tenga acceso a ella. Para enviar un mensaje, el remitente usa la clave pblica del destinatario para cifrar el mensaje. Una vez que lo ha cifrado, solamente con la clave privada del destinatario se puede descifrar, ni siquiera el que ha cifrado el mensaje puede volver a descifrarlo. Por ello, se puede dar a conocer perfectamente la clave pblica para que todo aquel que se quiera comunicar con el destinatario lo pueda hacer. La clave de cifrado (pblica) es diferente a la clave de descifrado (Privada). A diferencia de la clave simtrica, la clave de descifrado no puede ser calculada desde la clave de cifrado. No es necesario transmitir una clave al otro extremo. Ejemplos: El Gamal, RSA, DSA, Diffie Helman. 3

Algoritmos Populares Ao 1974 1976 1977 1977 1988 1992 1993 1995 Nombre Lucifer Diffie-Helman RSA (Rivest, Addleman) Tipo S A Shamir,A Variable 64 bits 64 bits 64 Bits 64 Bits Variable Variable 56 bits 168 bits Variable Variable Variable Tamao bloque 128 bits Tamao clave n/a Uso Principal n/a IPSec Varios, muy flexible Documentos, VPN Documentos, VPN Email S.O. Seguros Acadmico

DES (Data encryption Standard) S Triple DES IDEA Blowfish RC5 (Ronald Rivest S S S S

n/a: no aplica. IPSec: protocolo de seguridad de la red. Est en las directivas de Active Directory de Windows Server 2008. Triple DES: es una frmula de hacer el DES tres veces ms seguro. AESC: es un nmero estndar de seguridad. El tamao de la clave si es importante porque entre ms grande es la clave ms difcil de descifrar o ms poder de cmputo se necesitar para descifrar. Ningn algoritmo es descifrable. Algoritmos HASH

Es una funcin que coge un flujo de caracteres y da una cadena de tamao definido. Un ejemplo de aplicacin HASH es el Ares ya que hay diferentes nombres en una misma cancin pero es el mismo cdigo el que lo genera. Algoritmos HASH Continuacin Usados para verificacin de datos La verificacin permite saber si los datos no se han adulterado en el camino. La longitud de la salida siempre es la misma. La salida de la funcin HASH se conoce como Message Digest (Resumen del mensaje). Existen dos algoritmos lderes en el mercado: Sha-1 Md5

Cuando se aplica HASH ya no se puede regresar. Convierte la contrasea en un cdigo HASH. Otra funcin del HASH es la Firma Digital. --------------------------FIRMA DIGITAL -------------------------- La firma digital es creada utilizando una funcin HASH. La firma es siempre adjuntada a un mensaje de manera tal que garantice su integridad. Adems como la firma es cifrada utilizando la clave privada del firmante se autentica su origen.

Certificado Digital Cuando se usa criptografa de clave pblica/privada el emisor enva datos cifrados con la clave pblica del receptor. Pero qu sucede cuando el atacante publica una clave pblica falsa? Le enviamos informacin cifrada al atacante por qu no hemos validado su autenticidad. Los certificados digitales son una buena alternativa para intercambiar informacin cifrada con los que nunca antes han interactuado. Los certificados digitales actan como una licencia de conducir la cual es emitida por una autoridad reconocida. Contenido del certificado digital Un certificado digital segn el estndar X.509 deber tener lo siguiente: Informacin de identificacin: Toda la informacin que identifica al usuario.

Clave pblica del dueo del certificado. Firma digital de la Entidad Certificadora: valida que el usuario es autntico.
PKI (Public Key Infraestructure) Infraestructura de Clave Pblica. No es un solo servidor ni un solo servicio, es un grupo. Cuando el grupo de usuarios que utilizan la clave pblica crece se vuelve dificultoso el compartir manualmente la clave. Nos permite cifrar mltiples aplicaciones en una red. Es por esto que se cre la Infraestructura de clave pblica con la que se automatiza: La generacin Autenticacin Distribucin Almacenaje 5

Componentes del PKI Autoridad Certificadora. Entidad responsable de emitir los certificados para usuarios autorizados. LA CA crea y firma el certificado usando su propia clave privada. Adems la CA es responsable de almacenar y salvaguardar los certificados emitidos. Autoridad Registradora. Es usada para descargar trabajo a la CA. Acta como un intermediario entre el CA y el subscriptor, aceptando solicitud de registros para la CA, validando la identidad del subscriptor y distribuyendo las claves. La RA no emite los certificados por si misma. Servidor de Certificado. Es el repositorio de los certificados. Las claves guardadas en l cumplen polticas especficas. Polticas de certificados Hay dos documentos que deben ser desarrollados previo al uso de la infraestructura PKI. Poltica de certificados. Reglas que definen sobre qu circunstancias el certificado deber ser utilizado. Ej. LA CA puede emitir un certificado para e-commerce, otro diferente para e-mail y un tercero para software aplicativo. Declaracin prctica del Certificado (CPS). Es un documento publicado que explica como la CA es estructurada, que protocolos y estndares maneja y como los certificados son administrados. Modelos de confianza Los Trust models definen la ruta de certificacin que autentica al certificado. Los modelos ms usados son: Single-authority trust Hierarchical Trust Web of Trust Modelo de confianza simple Confianza Jerrquica Confianza en telaraa

Protocolos y estndares Al ser una tecnologa relativamente nueva, hay muchos estndares, sin embargo se imponen el x.509 y el PKCS X.509 es una especificacin, diferentes fabricantes lo implementan a su manera. PKCS (Public Key Criptographic Service) Desarrollado por RSA, publicado en 1991. Define los algoritmos de cifrado (PKCS#1) Algoritmos ellipticos (PKCS#13), cifrado basado en password (PKCS#5), estndares de clave privada (PKCS #8) y sintaxis de requerimiento de certificacin (PKCS #10). Administracin del ciclo de vida de la clave Los ataques a los sistemas de clave pblica va dirigidos a los equipos que la administran. Por lo tanto dichos equipos deben estar sumamente protegidos. Las claves tienen un cliclo de vida: generacin, distribucin, almacenamiento, backup y destruccin. Si una fase del ciclo de vida no es manejada adecuadamente se corren altos riesgos. Tipos de administracin Centralizada. La administracin se lleva a cabo en una CA de nivel de raz. Pude ser propia o de terceros. Descentralizada. La responsabilidad recae en el individuo. Las claves son guardadas en el sistema del usuario. No provee las mismas funcionalidades de un sistema centralizado. Instalacin e inicializacin Las tres fases de la administracin del ciclo de vida de la clave y el certificado son: La inicializacin Administracin Cancelacin 6

Proceso de Inicializacin Registro. Proceso donde se valida la autenticidad y existencia del solicitante del certificado. Generacin del par de claves. Proceso que crea la clave privada y clave pblica usando una paraphrase y un algoritmo. Generacin del certificado. La CA los crea, sin importar donde fue creada el par de claves. UN certificado enlaza a un nombre nico DN u otro atributo a su clave pblica. Diseminacin del certificado. Hacer el certificado disponible al solicitante sin mucha dificultad. Administracin de las claves emitidas. Los certificados luego de ser emitidos deben administrase, las fases son las siguientes: Almacenamiento de las claves. En medios removibles o en el sistema de archivos. Recuperacin de certificados y validacin. Para que el sistema funcione los clientes van a solicitar validacin de certificados, y esto amerita que sean accedidas y recuperadas del almacenamiento. Respaldo de claves. Mientras la clave sea vigente es necesario mantener un respaldo que la proteja de prdidas. Restauracin de claves. Recuperacin de claves perdidas, daadas para permitir a los usuarios acceder a su informacin. Cancelacin de certificado La fase final del ciclo de vida que contiene: Expiracin del certificado Renovacin del certificado Revocacin del certificado (CRL) Suspensin del certificado Destruccin de la clave. Responsabilidades administrativas Montar un PKI empresarial es una tarea muy compleja que demanda recursos financieros, humanos, de hardware y software. Adicionalmente al soporte bsico algunas reas deben explorarse tambin: Soporte de estndares y protocolos. Problemas relacionados a la certificacin cruzada y modelos de confianza. Usos mltiples de los pares de claves. Mtodos para permitir a las aplicaciones usar el PKI. Impacto al usuario en el manejo de las claves. Rendimiento, escalabilidad y flexibilidad en la distribucin, recuperacin y revocacin. Control de acceso fsico a las instalaciones. Implementaciones Netscape Certificate Management System Microsoft Certificate Server EJBCA. --------------Adicional --------------VPN Una red privada virtual, RPV, o VPN de las siglas en ingls de Virtual Private Network, es una tecnologa de red que permite una extensin de la red local sobre una red pblica o no controlada, como por ejemplo Internet. Ejemplos comunes son, la posibilidad de conectar dos o ms sucursales de una empresa utilizando como vnculo Internet, permitir a los miembros del equipo de soporte tcnico la conexin desde su casa al centro de cmputo, o que un usuario pueda acceder a su equipo domstico desde un sitio remoto, como por ejemplo un hotel. Todo ello utilizando la infraestructura de Internet. Aplicaciones Seguras email Clave Pblica: la velocidad del cifrado es muy lento. Es muy utilizado. Cifrado Combinado: lo implementa PGP y S/MIME. Quien implementa PGP es el correo electrnico. Computador Zombie, es la denominacin que se asigna a computadores personales que tras haber sido infectados por algn tipo de malware, pueden ser usadas por una tercera persona para ejecutar actividades hostiles. Este uso se 7

produce sin la autorizacin o el conocimiento del usuario del equipo. El nombre procede de los zombis o muertos vivientes esclavizados, figuras legendarias surgidas de los cultos vud. Los ordenadores zombi, controlados a distancia sin que su usuario lo sepa, son utilizados por las redes de ciberdelitos. El computador zombie comienza a enviar una gran cantidad de mensajes spam o ataques a pginas Web y se convierte en punto central de investigaciones de posibles actividades ilegales. Otros Ataques: SPAM: Correo no deseado. Phishing: , conocido como phisher, se hace pasar por una persona o empresa de confianza en una aparente comunicacin oficial electrnica, por lo comn un correo electrnico, o algn sistema de mensajera instantnea o incluso utilizando tambin llamadas telefnicas. Es muy peligroso. Hoax (Cadenas): Obtener direcciones de correo electrnico y luego sirve como spam. ------------------------------------------------------------------------------------The Secure Socket Layer (SSL) y Transport Layer Security (TLS) -------------------------------------------------------------------------------------

Hace seguro el mensaje cifrndolo y lo hace por medio de certificacin digital. El SSL viene en la mayora de browsers, es muy popular. TLS es una versin mejorada, es similar a SSL y no cambia porque HTTP ya vino implementado con SSL. TLS se usa en aplicaciones que no son web. Base de datos usa TLS, servidor de video y audio. Cualquier aplicacin se cifra con TLS menos en web, mientras que SSL si se usa en la web. Como trabaja con Certificado Digital sabe quin es el cliente y quin es el servidor, intercambian certificados.

El Cifrado SSL Usa como base PKI. Es seguro la longitud de sus bits. Corregir certificados digitales y luego instalarlo en el servidor. HTTP (Hypertext Transfer Protocol ver SSL (HTTPS)) Es una variante del protocolo de HTTP desarrollado por Netscape. Cifrado de Servicios TLS complementa al protocolo SSL para FTP, SMTP, POP y dems. Autenticacin de Servicios - SASL (Simple Authentication and Security Layer) - PAM (Pluggable Authentication Module) - Son protocolos que permiten que los protocolos que no tengan autenticacin puedan tener autenticacin. Para tener un servicio ms seguro: SASL para Autenticar. TLS para Cifrar. El cifrado de capa de sockets seguros (SSL) es el mtodo ms utilizado para transmitir datos cifrados por Internet. SSL usa criptografa de claves pblicas para generar e intercambiar una clave secreta llamada clave de sesin. El dispositivo inteligente y los Servicios de Microsoft Internet Information Server (IIS) usan la clave de sesin para cifrar y descifrar los datos que se envan entre s. SASL es un framework para autenticacin y autorizacin en protocolos de internet. Separa los mecanismos de autenticacin de los protocolos de la aplicacin permitiendo, en teora, a cualquier protocolo de aplicacin que use SASL usar cualquier mecanismo de autenticacin soportado por SASL. A pesar de que mediante PAM (Pluggable Authentication Module) no es un modelo de autenticacin en s, sino que se trata de un mecanismo que proporciona una interfaz entre las aplicaciones de usuario y diferentes mtodos de autenticacin, tratando de esta forma de solucionar uno de los problemas clsicos de la autenticacin de usuarios: el hecho de que una vez que se ha definido e implantado cierto mecanismo en un entorno, es difcil cambiarlo. Mediante PAM podemos comunicar a nuestra aplicaciones con los mtodos de autenticacin que deseemos de una forma transparente, lo que permite integrar las utilidades de un sistema Unix clsico (login, ftp, telnet...) con esquemas diferentes del habitual password: claves de un solo uso, biomtricos, tarjetas inteligentes... La gran mayora de las aplicaciones de linux usan estos mtodos (PAM) para autenticarse frente al sistema, ya que una aplicacin preparada para PAM (PAM-aware) puede cambiar el mecanismo de autenticacin que usa sin necesidade de recompilar los fuentes. Incluso se puede llegar a cambiar el sistema de autenticacin local sin siquiera tocar las aplicaciones existentes. 8

El protocolo TLS (Transport Layer Security) es una evolucin del protocolo SSL (Secure Sockets Layer), es un protocolo mediante el cual se establece una conexin segura por medio de un canal cifrado entre el cliente y servidor. As el intercambio de informacin se realiza en un entorno seguro y libre de ataques. Estos protocolos permiten prevenir escuchas (eavesdropping), evitar la falsificacin de la identidad del remitente y mantener la integridad del mensaje en una aplicacin cliente-servidor.