Conceptos esenciales de seguridad informática: criptografía, autenticación y detección de intrusos

Conceptos clave de seguridad informática

En este documento se describen distintos conceptos y mecanismos fundamentales de seguridad en redes y sistemas: propiedades criptográficas, métodos de autenticación, estrategias de protección de integridad, arquitectura de seguridad, características de sistemas trampa y tipos de malware, entre otros.

Propiedad principal de las redes de Feistel

Propiedad principal: para invertir la función de cifrado (descifrar) se aplica el mismo algoritmo que para cifrar, pero las K_i se usan en orden inverso.

Autenticación por desafío (challenge-response)

Este mecanismo se utiliza entre un sistema anfitrión y un dispositivo para verificar la identidad del dispositivo sin enviar la clave secreta. El proceso general es el siguiente:

• Se genera una clave de la que habrá una copia en el servidor y en el dispositivo.
• Cuando el dispositivo solicita ser identificado, el servidor genera un valor aleatorio (el desafío).
• El servidor calcula el MAC del desafío empleando la clave y envía el desafío al dispositivo.
• El dispositivo realiza el mismo cálculo y devuelve su resultado al servidor.
• Si la respuesta del dispositivo coincide con el valor calculado por el servidor, la autenticación es satisfactoria.

Tipos de autenticación de un usuario ante un sistema informático

• Algo que conoce: conocimiento de algo confidencial (por ejemplo, una contraseña).
• Algo que posee: posesión de un dispositivo que acredita la identidad (por ejemplo, una tarjeta inteligente o token).
• Algo que es: rasgos físicos o biométricos (huellas dactilares, voz, iris, etc.).

Estrategias de prevención de alteraciones en sistemas de ficheros

Para prevenir o detectar modificaciones no autorizadas en archivos y datos se emplean varias técnicas:

• Firma digital: garantiza la autenticidad y la integridad de archivos y datos por parte del propietario.
• CRC y funciones hash: detectan alteraciones en archivos comparando valores resumidos (sumas de comprobación, hashes).

Elementos de la arquitectura de seguridad OSI

Dentro de la arquitectura de seguridad se distinguen tres elementos principales:

• Ataque a la seguridad: cualquier acción que comprometa la seguridad de una organización, ya sea activa o pasiva.
• Mecanismos de seguridad: componentes y controles que previenen, detectan o permiten recuperar el sistema tras un ataque.
• Servicio de seguridad: mejora la seguridad de los sistemas de transferencia y procesamiento de datos proporcionando funcionalidades específicas (confidencialidad, integridad, autenticación, etc.).

Características de un sistema trampa (honeypot)

Un sistema trampa está diseñado para atraer a intrusos y estudiar su comportamiento. Sus características incluyen:

• Imita el comportamiento de un recurso interesante para un intruso.
• Incorpora mecanismos que impiden que desde él se acceda a otros recursos reales.
• Está monitorizado de forma transparente para registrar la actividad.
• Su intención es que los intrusos interactúen con él sin detectarlo.
• No debe levantar sospechas, pero debe registrar toda la actividad para análisis forense y detección.

Tipos de programas maliciosos

• Virus: se propagan a otros sistemas y pueden causar daño al modificar o destruir datos.
• Gusanos: se propagan automáticamente por la red y pueden colapsar sistemas por consumo de recursos.
• Conejos (rabbits): se copian en un sistema hasta consumir sus recursos y colapsarlo.
• Troyanos: aparentan ser programas legítimos, usan ingeniería social para propagarse y pueden provocar daño o abrir puertas traseras.

Pérdida de disponibilidad

Un ejemplo claro de pérdida de disponibilidad en un sistema es un ataque de denegación de servicio (DoS), cuyo objetivo es impedir que los usuarios legítimos accedan a los recursos del sistema.

Tipos de ataques pasivos a redes de ordenadores

• Análisis del tráfico: observación del número de mensajes, tamaño, origen y destino, frecuencia, etc.
• Uso de canales laterales: explotación de perturbaciones electromagnéticas, acústicas, térmicas, variaciones en el consumo eléctrico, etc., para obtener información.

Sistema de detección de intrusiones (IDS)

Un IDS realiza el procesamiento automático de los datos de una auditoría de seguridad en busca de situaciones anómalas mediante el uso de métodos estadísticos e identificación de patrones. Sus componentes habituales son:

• Fuentes de información: proporcionan los eventos (logs, paquetes de red, registros del sistema, etc.).
• Motor de análisis: procesa los eventos en busca de intrusiones o comportamientos sospechosos.
• Mecanismo de respuesta: actúa ante detecciones (alertas, bloqueos, activación de contramedidas).

Política de seguridad procesal

La política de seguridad procesal recoge la filosofía de seguridad de la empresa y define cómo proteger los activos. Está compuesta por:

• Objetivo: qué se debe proteger.
• Procedimiento: cómo deben realizarse las tareas para alcanzar los objetivos de seguridad.
• Práctica: definición operativa de cada una de las tareas y responsabilidades.

Criptosistema

Un criptosistema se define como una quíntupla (M, C, K, E, D) donde:

• M es el conjunto de todos los posibles mensajes sin cifrar (texto claro).
• C es el conjunto de todos los posibles mensajes cifrados (criptograma).
• K es el conjunto de claves empleadas.
• E es el conjunto de transformaciones de cifrado (funciones de encriptación).
• D es el conjunto de transformaciones de descifrado (funciones de desencriptación).

Debe cumplirse que D_k(E_k(m)) = m para toda clave k y mensaje m.

Condición de carrera

Una condición de carrera es una situación en la que dos o más procesos intentan acceder a un mismo recurso compartido sin control. Por ejemplo, cuando múltiples procesos leen y escriben un dato compartido sin mecanismos de sincronización adecuados.

Tipos de detección que puede llevar a cabo un IDS

• Detección de uso indebido: se compara la información recogida con una serie de patrones conocidos (útil para ataques previamente identificados).
• Detección de anomalías: se buscan desviaciones respecto al comportamiento normal del sistema (permite detectar ataques desconocidos).
• Análisis de integridad: se comprueba que ciertos elementos no hayan sido alterados (por ejemplo, mediante hashes o firmas).