Correo y comercio electrónico seguros

Perspectiva Empresarial
Correo y comercio
electrónico seguros
nos segura que las redes privadas, los
esfuerzos por proporcionar una variedad de mecanismos de seguridad al
tráfico en Internet han progresado a
toda velocidad, de modo que hoy es
posible afirmar que puede ser tan segura como una red privada.
Algunas de las medidas de seguridad se están implementado en
LA SEGURIDAD EN INTERNET ES CUESTIÓN, MUCHAS
Internet para hacer de ella una red
VECES, MÁS DE APLICAR EL SENTIDO COMÚN QUE DE
buenos firewalls y antivirus, son las
INVERTIR GRANDES SUMAS DE DINERO
más segura, además de instalar unos
diferentes técnicas de cifrado de la
información, bien de clave privada o
pública (sistemas simétricos y
asimétricos) y otros mecanismos a
nivel de aplicación, como los que se
electrónico, para la realización de tran-
describen en este artículo.
sacciones electrónicas. Existen muchos
José Manuel
Huidobro
MIEMBRO DEL
CONSEJO EDITORIAL
DE
I
tipos diferentes de amenazas que pueden comprometer la seguridad del
Seguridad en el correo
correo y el comercio electrónico, pero
Se ha propuesto una variedad de
para contrarrestarlas se han desarro-
protocolos de seguridad para el correo
llado varios protocolos y aplicaciones
electrónico (e-mail) en Internet, pero
usando, entre otras, las técnicas
sólo uno o dos han tenido aceptación.
criptográficas.
El correo enriquecido con carácter
privado PEM (Privacy-Enhanced Mail)
nternet es una red descentralizada, a la que tiene acceso cualquier usuario que cuente con un
simple terminal y una línea de conexión, fija o móvil, de banda estrecha
o ancha. Ello hace que estemos expuestos a numerosos ataques, muchísimos más que si se tratase de una
red privada. Los más usuales son los
virus, troyanos, gusanos y otros códigos maliciosos, como el spyware,
phishing, etc. además de sufrir las
molestias del spam, hoax, adware,
es un estándar de Internet para ase-
Existen muchos tipos de
amenazas que pueden
comprometer la
seguridad del correo
y el comercio
electrónico
etc. Estos ataques pueden hacer que
gurar al correo electrónico usando
claves públicas o simétricas. En la
actualidad PEM se utiliza poco pues no
está diseñado para manejar el moderno correo electrónico multimedia soportado por S/MIME, además de que
requiere una jerarquía rígida de autoridades de certificación para emitir las
claves.
S/MIME (Secure/
MultipurposeIinternet Mail Extensions)
es un estándar del IETF (Internet
Engineering Task Force) basado en
lleguemos a perder la información o
Desde sus comienzos Internet de-
que esta sea accesible a extraños, o
pende de estándares abiertos y este
implementación de Infraestructura de
incluso dejar inutilizado el equipo,
apoyo a los estándares abiertos, junto
Clave Pública (PKI); proporciona fir-
aparte de ser una herramienta para
con el intercambio sin límites de infor-
mas digitales, no-rechazo y
cometer innumerables estafas, con
mación en Internet, puede hacer que
encriptación punto a punto. Este nue-
casi total impunidad, desde cualquier
se piense que seguridad e Internet son
vo estándar puede utilizar muchos de
rincón del mundo.
términos mutuamente excluyentes,
los algoritmos criptográficos más mo-
pero nada es menos cierto y aunque
dernos, pero depende de certificados
en el pasado Internet era mucho me-
digitales, por ello también depende de
Cada día es más frecuente utilizar
Internet, además de para el correo
nº 5 „ septiembre / octubre 2006
certificados X.509 y en una
Perspectiva Empresarial
algún tipo de autoridad de certificación, ya sea corporativa o global, para
asegurar la autenticación.
S/MIME es un protocolo de seguridad para correo electrónico desarrollado por RSA, Inc., valioso y ampliamente utilizado para certificar la identidad
del remitente, proteger los correos
electrónicos durante el proceso de
transmisión y para validar las credenciales del receptor. Las aplicaciones
Los mecanismos de
cifrado, junto con la firma
electrónica, sirven para
garantizar la
confidencialidad de los
mensajes y su
autenticidad
compatibles con S/MIME pueden enviar y recibir mensajes de correo electrónico seguros (con cifrado y firmado). Este protocolo ha sido adoptado
por un amplio número de compañías,
entre las que se incluyen Microsoft y
Netscape.
PGP (Pretty Good Privacy) es una
claves, sin requerir una jerarquía de
aplicaciones y SET (Secure Electronic
autoridades de certificación.
Transaction) va un paso más allá al
proporcionar seguridad a las transac-
aplicación desarrollada para asegurar
los mensajes y archivos que puede
emplear una gran variedad de
estándares de cifrado; así, los mensa-
Seguridad en el comercio
Los estándares se pueden clasificar
ciones de comercio electrónico.
S-HTTP y SSL proporcionan autentificación para servidores y
jes se pueden cifrar antes de usar un
de acuerdo a si proporcionan seguri-
navegadores, así como confidenciali-
programa de correo electrónico. Proba-
dad de conexión o de aplicación. Así,
dad e integridad de los datos para las
blemente sea la aplicación de seguri-
el estándar SSL (Secure Sockets
comunicaciones entre un servidor web
dad para correo electrónico en
Layer) está diseñado para mantener
y un navegador. S-HTTP está diseñado
Internet más utilizada. PGP está dispo-
comunicaciones seguras en Internet,
específicamente para soportar el pro-
nible de manera gratuita para la ma-
aunque SSL se usa primariamente con
tocolo de transferencia de hipertexto
yoría de los sistemas operativos im-
aplicaciones para la web. Por el contra-
HTTP, proporcionando la autorización y
portantes. PGP se diseñó alrededor del
rio, Secure HTTP (S-HTTP), está dirigi-
seguridad de los documentos. SSL
concepto de una red de confianza que
do a proporcionar autentificación y
ofrece métodos de protección simila-
permitía a los usuarios compartir sus
preservar el carácter privado de las
res, pero asegura el canal de comuni-
nº 5 „ septiembre / octubre 2006
Perspectiva Empresarial
caciones al operar a un nivel más bajo
Cifrado de datos
P
ara preservar la confidencialidad
de la información se recurre al
cifrado de los datos. Los algoritmos de
cifrado (encriptación) más comunes,
son:
„ DES (Data Encryption StandardEstándar) es un codificador de bloque creado por IBM, avalado por el
gobierno de los Estados Unidos en
1997. Usa una clave de 56 bits y ope-
ra en bloques de 64 bits. Relativamente rápido; se usa para cifrar
grandes cantidades de datos simultáneamente.
„ Triple DES basado en DES. Cifra
un bloque de datos tres veces, con
tres claves diferentes. Es una alternativa al DES y su uso se incrementa
día a día, pues existe la posibilidad
de violar el DES con facilidad y rapidez, mediante ataques de fuerza
bruta.
„ RC2 y RC4, diseñados por RSA
Data Security Inc. Codificadores de
tamaño de clave variable para cifrado
rápido. RC2 es un codificador de
(entre la capa de aplicación y las capas de red y transporte).
Los sistemas SSL y S-HTTP tienen
bloque mientras que RC4 es un
codificador de flujo y es 10 veces más
veloz que DES.
„ IDEA (International Data Encryption
Algorithm). Creado en 1991 y diseñado para ser eficaz. Ofrece un cifrado
muy poderoso, pues usa una clave de
128 bits.
„ RSA. Llamado así en honor de
Rivest, Shamir y Adelman, sus
diseñadores. Es un algoritmo de
clave pública que soporta una longitud de clave variable y del bloque de
texto a encriptar, que debe ser más
pequeño que la longitud de la clave.
Es muy lento, por lo que se suele
utilizar solo para el intercambio de
claves y la firma electrónica, empleándose DES u otro algoritmo
para el cifrado de la información
(texto simple).
„ Diffie-Hellman. El criptosistema
de llave pública más antiguo todavía
en uso. No soporta el cifrado ni las
firmas digitales. El sistema está diseñado para permitir que dos individuos se pongan de acuerdo en una
llave compartida, aunque sólo
intercambian mensajes en público.
la gran ventaja de la absoluta transparencia para el usuario, que no necesita
ningún tipo de preparación ni conocimiento previo, y garantizan plenamente la identidad del vendedor y que sólo
él recibirá los datos involucrados en la
transacción. En cambio presentan el
grave inconveniente de que no se garantiza la identidad del comprador, por
lo que puede aparecer el problema del
repudio. En la actualidad, la mayoría
de las empresas que venden en
Internet utilizan este sistema.
SET es un protocolo transaccional
orientado a las aplicaciones de comer-
Para contrarrestar las
amenazas existentes se
han desarrollado
protocolos y aplicaciones
usando, entre otras, las
técnicas criptográficas
cio electrónico a través de tarjetas de
„ DSA (Digital Signature Algorithm),
desarrollado por NIST con base en
el llamado algoritmo “El Gamal”. El
esquema de firma usa el mismo tipo
de llaves que Diffie-Hellman, y puede crear firmas más rápido que RSA.
crédito. A diferencia de otros protoco-
Estos mecanismos de cifrado,
junto con la firma electrónica que
proporcionan las autoridades de
certificación, sirven para garantizar
la confidencialidad de los mensajes y
su autenticidad, garantizando que el
remitente es quién dice ser.
mente dicha, pero mejora las condicio-
los seguros de carácter general como
SSL, SET fue expresamente diseñado
para el comercio electrónico y no sirve
para ninguna otra cosa, por eso no
supone ninguna mejora en cuanto a la
seguridad en la comunicación propianes en las que el proceso de comercio
electrónico tiene lugar. Es un protocolo
robusto y que ofrece un nivel de seguridad suficiente, pero a costa de hacerlo muy pesado y complejo de utilizar, por lo que su implantación está
siendo bastante lenta.
nº 5 „ septiembre / octubre 2006