modelos de encriptación de datos en it y su aplicación en el diseño de seguridad de

216 Pages·2009·5.58 MB·Spanish

UNIVERSIDAD PONTIFICIA COMILLAS

ESCUELA TÉCNICA SUPERIOR DE INGENIERÍA (ICAI)

INGENIERÍA INFORMÁTICA

PROYECTO FIN DE CARRERA

MODELOS DE ENCRIPTACIÓN DE
DATOS EN IT Y SU APLICACIÓN EN
EL DISEÑO DE SEGURIDAD DE
INFRAESTRUCTURAS
INFORMÁTICAS

Javier Ruiz-Canela López

MADRID, 7 de septiembre de 2009
“Si vis pacem, para bellum”

Si quieres la paz, prepara la guerra
Flavius Renatus Vegetius, Siglo IV d.C.
Javier Ruiz-Canela López
[Escribir texto]
RESUMEN

Los sistemas de información se basan en sistemas lógicos que están diseñados para ser
universales. Esa universalidad hace que cualquier persona esté en condiciones de
entender dichos sistemas. Cuando una organización adquiere un sistema de información
y lo integra en su sistema de negocio se está exponiendo a todo tipo de amenazas. Esto
sugiere un reto para la ciencia de la información, y es la de garantizar un sistema de
información seguro a través de medidas de protección.

Los sistemas de protección de la información pasan por el uso de sistemas de
encriptación que puedan hacer ilegible la información a cualquier cracker (criminal
hacker). Los sistemas de encriptación básicos se basan en la complejidad computacional
de la factorización de números primos. Dichos sistemas no obstante han quedado
obsoletos debido a los nuevos ataques dirigidos. Los nuevos ataques dirigidos utilizan la
potencia de varios computadores para romper los sistemas de encriptación tradicionales.
Esto produce la necesidad de innovar en los sistemas de encriptación. Los sistemas de
encriptación basados en curva elíptica (ECC) son la respuesta a los nuevos retos de los
ataques dirigidos. Dichos sistemas son más seguros y con menor carga computacional
para los sistemas de información; lo que además se traduce en una reducción de costes
en el sistema de seguridad de la información.

La ciencia de la información no obstante debe de integrar dichos sistemas a las
necesidades empresariales. Para ello, se requiere el diseño de una arquitectura de
seguridad para la información. La arquitectura de seguridad propuesta en este proyecto
y basado en ECC, se compone de un sistema de gestión de la seguridad de la
información y un perímetro de seguridad.

El sistema de gestión de la seguridad de la información cubre las necesidades de
organización de cualquier empresa: sistema de datos corporativos, plan de programas y
sistemas, relaciones inter-corporativas y extra-corporativas, organización administrativa
y control de riesgos. Esta serie de planes están diseñados con las recomendaciones de
las principales organizaciones en materia de seguridad de la información (ISO, ISSA,
SANS, ISSA,..etc.).

El perímetro de seguridad se compone de una estructura lógica computacional y una
organización física de puestos de trabajo. El sistema de estructura lógica computacional
está divida por una zona de servidores centralizados (DMZ), un sistema de control de
acceso y una zona para la monitorización de actividades. La organización física de
puestos de trabajo trata de responder a las vulnerabilidades que se puedan producir por
los ataques internos. Además el sistema perimetral cubre las amenazas que se pueden
producir por desastres naturales.

I
Javier Ruiz-Canela López
ABSTRACT

Information systems are based in a logical system that is designed to be universal. That
universality means that any person is able to understand such systems. When an
organization acquires an information system and integrates into its business system is
exposed to all kinds of threats. This suggests a challenge to information science. And it
is ensuring a secure information system through protection measures.

The protection information systems through the use of encryption systems that can
make the information unreadable to any crackers (criminal hackers). Basic encryption
systems are based on the computational complexity of the factorization of prime
numbers. However these systems have become obsolete because new attacks targeting.
The new attacks targeting use the power of several computers to break the traditional
encryption systems. This produces the need for innovation in encryption systems. The
encryption systems based on elliptic curve (ECC) are the answer to the new challenges
of the targeting. These systems are safer and less computational burden for information
systems, which also translates into lower costs in the information system security.

However information science must integrate these systems to business needs. This
requires the design of information security architecture. The security architecture
proposed in this project and based on ECC, comprises a security information
management system and a security perimeter.

The management system for information security organization serves the needs of any
enterprise: corporate data system, programs and systems plan, inter-corporate and extra-
corporate communications, administrative structure and risk control. This series of plans
are designed with the recommendations of major organizations in the field of
information security (ISO, ISSA, SANS, ISSA, etc. ...).

The security perimeter consists of a logical structure and a computational physics
works. The logical structure of computer system is divided by a centralized server
(DMZ), an access control system and an area for monitoring activities. Also, the
computational physics works covers the vulnerabilities that produce internal attacks.
Besides, the perimeter security threats the natural disasters.

II
Javier Ruiz-Canela López
ÍNDICE

1. Introducción ............................................................................................................................. 1
1.1. Estado del Arte ................................................................................................................ 1
1.2. Justificación del Proyecto ............................................................................................... 1
2. Algoritmos Criptográficos ................................................................................................... 2
2.1. Algoritmos criptográficos de factorización discreta ....................................................... 3
2.2. Algoritmos criptográficos de Curva Elíptica (ECC) ....................................................... 5
2.3. Ventajas de los algoritmos de curva elíptica sobre los algoritmos clásicos .................. 9
2.4. Aplicaciones de los algoritmos de curva elíptica ......................................................... 10
3. Política de Seguridad ......................................................................................................... 11
3.1. Política basada en planes de seguridad ......................................................................... 11
3.2. Documento de política de seguridad de la información ................................................ 12
3.3. Revisión de la política de seguridad de la información ............................................... 14
4. Plan de Seguridad en Datos ............................................................................................... 16
4.1. Propósito, Objetivos y Alcance..................................................................................... 16
4.2. Cumplimiento de los requisitos legales ........................................................................ 17
5. Plan de Seguridad en Sistemas .......................................................................................... 29
5.1. Propósito, Objetivos y Alcance..................................................................................... 29
5.2. Requisitos de seguridad en los sistemas de información .............................................. 31
5.3. Tratamiento correcto de las aplicaciones ...................................................................... 32
5.4. Controles criptográficos ................................................................................................ 38
5.5. Seguridad de los archivos de sistemas .......................................................................... 39
5.6. Seguridad en los procesos de desarrollo y soporte ....................................................... 40
5.7. Gestión de la vulnerabilidad técnica ............................................................................. 44
6. Plan de Seguridad en Comunicaciones ............................................................................. 45
6.1. Propósito, Objetivos y Alcance..................................................................................... 45
6.2. Responsabilidades y procedimientos de operación ....................................................... 46
6.3. Gestión de la provisión de servicios a terceros ............................................................. 51
6.4. Planificación y aceptación del sistema ......................................................................... 54
6.5. Protección contra código malicioso y descargable ....................................................... 56
6.6. Copias de seguridad ...................................................................................................... 60
6.7. Gestión de seguridad en redes ....................................................................................... 61
6.8. Manipulación de soportes ............................................................................................. 64
6.9. Intercambio de información .......................................................................................... 66
7. Plan de Seguridad en Control de Acceso .......................................................................... 68
7.1. Propósito, Objetivos y Alcance..................................................................................... 68
7.2. Requisitos del negocio para el control de acceso .......................................................... 70
7.3. Gestión de acceso de usuario ........................................................................................ 71
7.4. Responsabilidades del usuario ...................................................................................... 74
7.5. Control de acceso a red ................................................................................................. 75
7.6. Control de acceso al sistema operativo ......................................................................... 82
7.7. Control de acceso a las aplicaciones y a la información ............................................... 87
7.8. Ordenadores portátiles y teletrabajo ............................................................................. 89

III
Javier Ruiz-Canela López
8. Plan de Seguridad Interna ................................................................................................. 90
8.1. Propósito, Objetivos y Alcance..................................................................................... 90
8.2. Organización Interna ..................................................................................................... 91
8.3. Terceros ........................................................................................................................ 98
8.4. Responsabilidad sobre los activos .............................................................................. 101
8.5. Clasificación de la información .................................................................................. 102
9. Plan de Seguridad para Personal .................................................................................... 104
9.1. Propósito, Objetivos y Alcance................................................................................... 104
9.2. Antes del empleo ........................................................................................................ 105
9.3. Durante el empleo ....................................................................................................... 109
9.4. Cese del empleo o cambio de puesto de trabajo ......................................................... 112
10. Plan de Seguridad en Medio Ambiente y Seguridad Física .......................................... 114
10.1. Propósito, Objetivos y Alcance .................................................................................. 114
10.2. Áreas seguras .............................................................................................................. 115
10.3. Seguridad en equipos .................................................................................................. 127
11. Plan de Seguridad para Gestión de Riesgos ................................................................... 132
11.1. Propósito, Objetivos y Alcance................................................................................... 132
11.2. Notificación de eventos y puntos débiles .................................................................... 133
11.3. Gestión de incidentes y mejoras ................................................................................. 136
11.4. Gestión de continuidad ............................................................................................... 139
12. Plan de Seguridad en Auditorias ..................................................................................... 142
12.1. Propósito, Objetivos y Alcance................................................................................... 142
12.2. Cumplimiento de las normas de seguridad y cumplimiento técnico........................... 143
12.3. Consideraciones de la auditorias en los sistemas de información............................... 145
12.4. Supervisión ................................................................................................................. 149
13. Plan Económico ................................................................................................................. 152
13.1. Propósito, Objetivos y Alcance................................................................................... 152
13.2. Asunciones y Restricciones ........................................................................................ 152
13.3. Organización ............................................................................................................... 153
13.4. Costes .......................................................................................................................... 164
13.5. Implantación ............................................................................................................... 165
14. Conclusiones ...................................................................................................................... 166
15. Anexo A: Estudio de Amenazas ....................................................................................... 167
15.1. Malware ...................................................................................................................... 169
15.2. Buffer Overflow .......................................................................................................... 176
15.3. Inyecciones SQL ......................................................................................................... 178
15.4. Denegación de Servicio .............................................................................................. 180
15.5. Ingeniería Social ......................................................................................................... 184
15.6. Matriz de Amenazas ................................................................................................... 188
16. Anexo B: Estudio de Infraestructura de Clave Pública ................................................ 189
16.1. Ciclo de Vida de Certificados ..................................................................................... 192
16.2. Componentes de la PKI .............................................................................................. 199
16.3. Comunicación en la PKI ............................................................................................. 203
16.4. eDNI y firma electrónica ............................................................................................ 205
17. Apéndice ............................................................................................................................ 206
17.1. Acrónimos ................................................................................................................... 206
17.2. Bibliografía ................................................................................................................. 207

IV
Introducción Javier Ruiz-Canela López
1 INTRODUCCIÓN

1.1 Estado del Arte
Un estudio reciente del Instituto Nacional de Tecnologías de la Comunicación, Inteco
[Inteco08] pone en evidencia el gran atraso tecnológico de las pequeñas y medianas
empresas en nuestro país comparado con los principales países europeos y EE.UU. Las
causas que han llevado a esta dramática situación es sin duda debido a 3 grandes
factores: desconocimiento de las tecnologías y formación adecuada, falta de
concienciación respecto a la seguridad de la información y desconfianza en Internet
como medio para prestar servicios. En este estudio pone en evidencia que las empresas
españolas incumple la LOPD (Ley Orgánica de Protección de Datos personales) en un
56,2%. Sólo el 17,7% de las empresas realizan auditorias de seguridad y solo un 23,4%
de las empresas tiene una política de seguridad.

1.2 Justificación del Proyecto

En este contexto de seguridad es necesario una “alfabetización tecnológica” de las
empresas, surge la necesidad de garantizar un uso seguro de las tecnologías en todo tipo
de organizaciones. Para esta alfabetización hacen falta dos cosas: educación en
seguridad y un servicio de gestión de seguridad para la empresa. En este proyecto se
quiere proponer un servicio de gestión para la seguridad de empresa que a su vez da
especificaciones y recomendaciones para la educación en seguridad. El servicio se
engloba en lo que se llama como una arquitectura de seguridad. Una arquitectura de
seguridad es un conjunto de normas, procedimientos y buenas prácticas que definen la
seguridad de la información en una empresa. En dicha arquitectura tiene que quedar
definido todos los parámetros y roles que intervienen en la manipulación de la
información. También tiene que cumplir con las leyes que afectan a la manipulación de
datos. Y tener en cuenta las amenazas que pueden acechar a la seguridad de la
información de la empresa. Pero lo que el lector se estará preguntando ahora mismo es:
¿Cómo defino este tipo de normas? ¿Existe algún organismo que me ayude en la
organización de mi empresa?. La respuesta a estas dos preguntas se resume en tres
palabras: “la ISO 27002”.
Para ello se estudiarán los algoritmos de encriptación basados en curva elíptica dado las
ventajas que traen sobre los algoritmos de encriptación tradicionales. Y tomando como
base los mismos, se planteará una arquitectura de seguridad para sistemas de
información tomando como referencia la ISO 27002, la legislación española y los
procedimientos informáticos corporativos.

1
Algoritmos criptográficos Javier Ruiz-Canela López
2 ALGORITMOS CRIPTOGRÁFICOS

Una arquitectura de seguridad para un sistema de información está basada en la
utilización de sistemas de criptografía. Un sistema de criptografía fuerte o sistema de
clave pública proporciona la seguridad necesaria para proteger la confidencialidad de
los archivos de toda una organización, así como nos dan herramientas para identificar a
las personas que acceden a ellos. Existen dos tipos de criptografía, la criptografía
simétrica y la criptografía asimétrica. La criptografía simétrica usa una misma clave
para cifrar y descifrar mensajes encriptados mediante un algoritmos criptográfico. En el
proceso comunicativo las dos partes implicadas en la recepción y envío del mensaje
conocen de antemano el valor de la clave. El principal problema que presenta este tipo
de sistemas es que la seguridad está ligada al intercambio de claves. Esto implica que un
atacante podría interceptar la clave en el proceso de intercambio de claves. La
criptografía asimétrica solventa en parte este tipo de problemas. Está basado en la
utilización de dos claves, una privada para cifrar y otra pública para descifrar. En el
proceso de comunicación un agente cifra el mensaje con su clave privada y trasmite su
clave pública al destinatario para que pueda descifrar el mensaje. De este modo un
atacante no podrá hacerse pasar por el emisor del mensaje.
Los sistemas de cifrado tradicionales están basados en criptografía asimétrica basados
en la complejidad de los números primos. El procedimiento matemático está basado en
que una función algebraica es computacionalmente sencilla en un solo sentido pero la
resolución del problema inverso resulta extremadamente difícil. Por ejemplo, imagínese
multiplicar dos números primeros de los cuales sale un número compuesto la tarea no
resultada difícil. Lo que si resulta difícil, es la tarea de factorizar uno compuesto en sus
componentes primos. El 4 de Noviembre de 2005 un equipo de la Agencia Federal
Alemana para Seguridad de Tecnología de Información consiguió factorizar un número
de 193 dígitos decimales (Véase http://www.rsa.com/press_release.aspx?id=3520). Para
ello necesitaron el poder combinado de 80 CPUs Opteron AMD. Esto nos da una idea
de hasta qué punto los sistemas de criptografía asimétricos basados en números primos
son seguros. No obstante el futuro de la criptografía estará basado en sistemas basados
en curvas elípticas tal y como se explicará más adelante.

2
Algoritmos criptográficos Javier Ruiz-Canela López
2.1 Algoritmos criptográficos de factorización discreta
El algoritmo asimétrico por excelencia usado actualmente para las infraestructuras de
clave pública, es el RSA [RSA09]. El algoritmo fue descrito en 1977 por Ron Rivest,
Adi Shamir y Len Adleman en el MIT; las letras RSA son las iníciales de sus apellidos.
El RSA es un algoritmo asimétrico de cifrador de bloques. En Criptografía, una unidad
de cifrado por bloques (block cipher en inglés) es una unidad de cifrado de clave
simétrica que opera en grupos de bits de longitud fija, llamados bloques, aplicándoles
una transformación invariante. Cuando realiza cifrado, una unidad de cifrado por
bloques toma un bloque de texto en claro como entrada y produce un bloque de igual
tamaño de texto cifrado. La transformación exacta es controlada utilizando una segunda
entrada, la clave privada. El descifrado es similar: se ingresan bloques de texto cifrado
y se producen bloques de texto en claro. Los mensajes enviados usando el algoritmo
RSA se representan mediante números y el funcionamiento se basa en el producto de
dos números primos grandes elegidos al azar para conformar la clave de descifrado. El
proceso de cifrado con un algoritmo RSA es el siguiente:
1. Escogemos dos números primos, por ejemplo p=3 y q=11.
2. n = 3 * 11 = 33.
3. fi(n) = (3-1) * (11-1) = 20.
4. Buscamos e: 20/1=0, 20/3=6.67. e=3.
5. Calculamos d como el inverso multiplicativo módulo z de e, por ejemplo,
sustituyendo Y por 1,2,3,... hasta que se obtenga un valor entero en la expresión:
d = ((Y * fi(n)) + 1) / e = ( Y * 20 + 1) / 3 = 21 / 3 = 7
6. e=3 y n=33 son la clave pública.
7. d=7 y n=33 son la clave privada.
8. Cifrado: Mensaje = 5, C = M^e mod n = 5^3 mod 33 = 26
9. Descifrado: M = C^d mod n = 26^7 mod 33 = 8031810176 mod 33 = 5

3
Algoritmos criptográficos Javier Ruiz-Canela López
En 1976 Whitfield Diffie y Martin Hellman publicaron un protocolo criptográfico
(JSH506). Dicho protocolo permite que dos partes que no tienen conocimiento previo
unos de otros establecer conjuntamente una clave secreta compartida a través de un
canal de comunicaciones inseguro. Esta clave puede ser utilizada para cifrar
comunicaciones utilizando un sistema de cifrado simétrico.
Sujeto A Sujeto B
o .a,p son
nt enteros y
e
mi largos
D
ataH Priv A= Número Entero Largo Priv B= Número Entero Largo
r
et
r
P
e
d
o
bies
mv
ercaCla PubA=aPrivA(modp) Pub A PubB=aPrivB(modp)
nt
I Pub B
n
ós
cive Z=PubBPrivA(modp) Z’=Pub PrivB(modp)
aa A
reCl
C
Z=Z’

(5) Diffie Hellman
Como se puede observar en el recuadro superior el funcionamiento de este algoritmo es
bastante sencillo. El primer paso llamado pretratamiento HD consiste en establecer dos
números a y p largos para los dos y dos claves privadas (enteros y largos) que solo
estarán en conocimiento para cada individuo. A continuación se genera una clave
pública en las dos partes con los parámetros del pretatamiento y se intercambia las
claves. Después con la clave pública recibida se genera una clave en las dos partes.
Dicha clave generada en las dos partes son iguales y se conoce como clave de sesión.
Un problema asociado a este algoritmo sería el conocido como "hombre en el medio"
(mitm, man-in-the-middle). Que consiste en que un tercero se pueda adueñar de las
claves públicas durante el proceso de intercambio de claves.

4