Sobre confidencialidad y privacidad

1. Diplomado Seguridad Informática
DIPLOMADO
SEGURIDAD INFORMÁTICA
1
Jesús R. Sánchez
Instructor

2. Diplomado Seguridad Informática
Nuestros temas de hoy...
● Confidencialidad
○ Marco conceptual
○ Ring-of-trust, Web-of-trust
● Cifrado y Hashing
● Sniffer
○ Vulnerabilidades de protocolos de texto plano
■ TELNET
■ HTTP
■ SMTP/POP/IMAP
● Redes Inalámbricas y Portales Cautivos (Conversatorio)
2

3. Diplomado Seguridad Informática 3
Confidencialidad y Privacidad: GnuPG

4. Diplomado Seguridad Informática 4
MSD de un sistema de confianza:

5. Diplomado Seguridad Informática
Es una herramienta de
cifrado y firmas digitales
desarrollado por Werner
Koch, que viene a ser un
reemplazo del PGP (Pretty
Good Privacy) pero con la
principal diferencia que es
software libre licenciado
bajo la GPL. GPG utiliza el
estándar del IETF denominado
OpenPGP.
5
GNU Privacy Guard (GnuPG o GPG)

6. Diplomado Seguridad Informática
En criptografía, un anillo
de confianza es un concepto
usado en PGP, GnuPG, y otros
sistemas compatibles con
OpenPGP para certificar la
autenticidad de que una
clave privada pertenece a su
dueño.1
6
Web-of-Trust: Redes de confianza

7. Diplomado Seguridad Informática
Se basa en que los participantes en el anillo firman entre sí sus claves
públicas con sus llaves privadas, certificando de esta manera que la llave
pública pertenece a la persona física a la que se atribuye. La persona que
firma debe establecer esta correspondencia sobre la base de un conocimiento
externo, como por ejemplo haberse encontrado físicamente con la persona de
la que certifica la llave en el mundo real. El interés del concepto está en
que todos los demás conocidos del firmante, aunque se encuentren en un lugar
remoto, tienen ahora un vínculo que les asegura que pueden confiar en los
mensajes (por ejemplo, código de software) firmados con la llave privada de
la persona certificada.
7
Web-of-Trust: Redes de confianza

8. Diplomado Seguridad Informática
En criptografía, es un
algoritmo matemático que
mapea datos de tamaño
arbitrario a una cadena de
bits de un tamaño fijo (una
función hash) que está
diseñada para ser también
una función unidireccional,
es decir, una función que es
inviable reversar.
8
Hashing:bastiones de la criptografía moderna

9. Diplomado Seguridad Informática
A continuación una pequeña lista de los
algoritmos más usados:
● MD5
● SHA-1
● SHA-2
● SHA-3/Keccak
● BLAKE2
9
Hashing
Hashing:bastiones de la criptografía moderna

10. Diplomado Seguridad Informática
Sniffer: Analizador de paquetes
“Es un programa de captura de las
tramas de una red de computadoras.”

11. Diplomado Seguridad Informática
● Captura automática de contraseñas enviadas en claro y nombres de usuario de la
red. Esta capacidad es utilizada en muchas ocasiones por crackers para atacar
sistemas a posteriori.
● Conversión del tráfico de red en un formato inteligible por los humanos.
● Análisis de fallos para descubrir problemas en la red, tales como: ¿por qué el
ordenador A no puede establecer una comunicación con el ordenador B?
● Medición del tráfico, mediante el cual es posible descubrir cuellos de botella en
algún lugar de la red.
● Detección de intrusos, con el fin de descubrir crackers. Aunque para ello existen
programas específicos llamados IDS (Intrusion Detection System, Sistema de
Detección de intrusos), estos son prácticamente analizadores con funcionalidades
específicas.
● Creación de registros de red, de modo que los crackers no puedan detectar que
están siendo investigados.
● Para los desarrolladores, en aplicaciones cliente-servidor. Les permite analizar
la información real que se transmite por la red.
11
Sniffer: Principales usos

12. Diplomado Seguridad Informática 12
Sniffer: Tipos
❏ Activos
❏ Pasivos

13. Diplomado Seguridad Informática
● Telnet (Telecommunication Network1 ) es el nombre de un protocolo de red que nos permite
viajar a otra máquina para manejarla remotamente como si estuviéramos sentados delante de
ella.
● Hypertext Transfer Protocol o HTTP (en español protocolo de transferencia de hipertexto)
es el protocolo de comunicación que permite las transferencias de información en la World
Wide Web. HTTP fue desarrollado por el World Wide Web Consortium y la Internet
Engineering Task Force, colaboración que culminó en 1999 con la publicación de una serie
de RFC, el más importante de ellos es el RFC 2616 que especifica la versión 1.1. HTTP
define la sintaxis y la semántica que utilizan los elementos de software de la
arquitectura web (clientes, servidores,proxies) para comunicarse.
● Simple Mail Transfer Protocol (SMTP) o “protocolo para transferencia simple de correo”,
es un protocolo de red utilizado para el intercambio de mensajes de correo electrónico
entre computadoras u otros dispositivos (PDA,teléfonos móviles, impresoras, etc). Fue
definido en el RFC 2821 y es un estándar oficial de Internet.1
● Internet Message Access Protocol (IMAP, Protocolo de acceso a mensajes de internet), es
un protocolo de aplicación que permite el acceso a mensajes almacenados en un servidor de
Internet. Mediante IMAP se puede tener acceso al correo electrónico desde cualquier
equipo que tenga una conexión a Internet. IMAP tiene varias ventajas sobre POP (otro
protocolo empleado para obtener correos desde un servidor).
● Post Office Protocol (POP3, Protocolo de Oficina de Correo o "Protocolo de Oficina
Postal") en clientes locales de correo para obtener los mensajes de correo electrónico
almacenados en un servidor remoto, denominado Servidor POP. Es un protocolo de nivel de
aplicación en el Modelo OSI.
13
Protocolos de Texto Plano:

14. Diplomado Seguridad Informática
Todos los protocolos que son transmitidos en texto plano
adolecen de los siguientes problemas:
○ Susceptibles a ataques de MITM
○ Mandan la contraseña en texto plano
○ Los mecanismos de autenticación son débiles
14
Protocolos de Texto Plano: La cruda realidad