Conceptos Clave de Criptografía, Compresión y Seguridad Informática (Gzip, OpenSSL, Pentest)

Compresión y Librerías de Datos

GNU zip (gzip)

Software que se usa para comprimir y descomprimir ficheros con la extensión .gz. Fue creado por Jean-Loup Gailly y Mark Adler como software libre de compresión.

Zlib

Es una librería creada también por Jean-Loup Gailly y Mark Adler en 1995 que usa el mismo algoritmo de compresión que gzip. Zlib tiene un formato propio, el formato zlib, que es diferente e incompatible con el formato gzip. Los datos internamente son iguales que los de Gzip, pero se usan diferentes cabeceras y trailers. La cabecera de Zlib es más pequeña que la de Gzip.

Fundamentos de Criptografía y Seguridad

Funciones Hash

Toman cadenas arbitrarias como entrada y producen una salida de longitud fija (valor hash, hash code o simplemente: hash) que depende de dicha entrada.

OpenSSL

Es una implementación open-source de los protocolos SSL v2/v3 y TLS v1. Se trata de una biblioteca de programas escrita en lenguaje C y que dispone de wrappers para su uso en muchos lenguajes de programación, como es el caso de Ruby, Python o Java. Ofrece un conjunto de algoritmos y suites criptográficas que se usan para implementar los protocolos SSL y TLS.

Shadow Password

Método para proteger las contraseñas que impide que usuarios sin privilegios accedan al fichero donde están las contraseñas cifradas. Solo el usuario root puede acceder a /etc/shadow.

Salt

Es una cadena aleatoria que se concatena al dato del que se va a calcular el hash ('salted' o 'sazonado'). El hash resultante se almacena junto con la salt. El uso de salt ralentiza el ataque por adivinación de passwords.

Initialization Vector (IV)

Se utiliza para que ficheros iguales en alguna parte no produzcan bloques cifrados iguales. Normalmente, el IV se escribe antes del fichero encriptado. El IV no proporciona información a un posible atacante.

Base64

Es un tipo de codificación binary-to-text para representar datos binarios en texto. Se usa cuando es necesario almacenar y/o transferir datos sobre un medio que solo trata con datos de tipo texto.

Seguridad PGP y Gestión de Claves

GNU Privacy Guard (GPG)

Implementación libre del estándar OpenPGP basado en PGP. GPG permite cifrar y firmar datos mediante una utilidad en la línea de comandos de fácil integración con otras aplicaciones y utilidades. Es Software Libre bajo licencia GPL. Tiene su propio protocolo y forma de gestionar las claves. Usando GPG, utilizaremos diversas claves, tanto nuestras (pública y privada) como las claves públicas de otras personas. Las claves se guardan todas en lo que se llama “anillo de claves” o keyring.

Key Tampering

Falsificar o alterar las claves para un ataque. (Comúnmente asociado al ataque Man-in-the-Middle).

gpg-agent

Demonio para solicitar y almacenar en caché la contraseña de la clave el tiempo que sea necesario para realizar las operaciones. Por lo tanto, ahorramos escribir la clave cada vez que realizamos alguna operación y nos quita la tentación de eliminar la clave o hacerla insegura.

Evaluación de Seguridad y Hacking

Penetration Testing (Pentest)

Método de evaluación de la seguridad de un dispositivo mediante el estudio y simulación de un hipotético ataque al mismo.

Hacking Ético

Usar los conocimientos informáticos y de seguridad para realizar pruebas y encontrar vulnerabilidades para reportarlas sin causar daño.

Shodan

Motor de búsqueda que permite encontrar dispositivos conectados a Internet a través de una variedad de filtros. Indexa headers (TCP banners) de diferentes dispositivos y servicios.