CONFIDENCIALIDAD Y MANEJO SEGURO DE LA INFORMACION

CONFIDENCIALIDAD Y
MANEJO SEGURO DE LA
INFORMACION
Mario Caycedo
HACKERS
HACKERS
zProgramadores de código libre
zAficionados y entusiastas de computación
casera
zPersonas que rompen la seguridad de las
empresas
HACKERS – Seguridad
zPhreakers: Phone + Freak
zIngeniería Social: Kevin Mitnick
zSeguridad
{Black Hat o Crackers
{White Hat Crackers
{Script Kiddies
Metodos De Hacking I
z Security exploit: Tomar ventaja de una falla
conocida de una aplicación. Por ejemplo “C$”
z Vulnerability scanner, port scanner: Programa
que busca direcciones IP en una red y para cada IP
encontrada busca puertos abiertos
z Packet sniffer: Capturar el trafico de una red para
tratar de obtener información privilegiada
z Spoofing attack: Una persona o programa se hace
pasar por otro para obtener información privilegiada
Metodos De Hacking II
z Rootkit: Un programa que toma control del
computador y se oculta del legitimo usuario. El famoso
“Fiasco del Rootkit de Sony”
z Social engineering: Convencer a otras personas de
revelar información privilegiada bajo engaño
z Trojan horse: Un programa que presume de hacer
algo pero en realidad hace otra cosa. Por ejemplo las
barras de herramientas “Tool Bars”
z Virus: Programas auto-replicantes que se distribuyen
copiándose a si mismos dentro de documentos y
programas
Metodos De Hacking III
z Worms: Se comporta similar a los virus pero se
distribuye por medio de las redes (locales y externas). El
objetivo es instalar puertas traseras para crear redes de
zombies, enviar Spam o participar en ataques de
denegación de servicio (“DOS attacks”). Por ejemplo el
“SQL slammer worm” (2003)
z Web defacing: Ganar acceso a una pagina Web para
cambiar el contenido y hacer mofa de la incompetencia
de los administradores.
z SQL Injection: Ejecutar código SQL en páginas web
para ganar acceso a la base de datos subyacente del
sitio
Confidencialidad
z“Garantizar que la información es
accesible solo a aquellos autorizados a
tener acceso” (ISO)
zLa promesa de confidencialidad construye
la confianza en que se basa el comercio
electrónico
zLa confidencialidad se basa en la promesa
de un manejo seguro de la información
Manejo seguro de la información
z La “Criptografía” es usada para garantizar la
confidencialidad de la información
z Un ataque de fuerza bruta contra AES128 requiere 2128
intentos
340,282,366,920,938,000,000,000,000,000,000,000,000
Comercio electrónico - inicios
Casos fallidos o la burbuja de las punto com
(dot com bubble)
zwww.pets.com
zwww.boo.com (moda, US$188 millones)
zetoys
Comercio electronico
Casos de exito
zwww.amazon.com
zwww.ebay.com
zItunes
zwww.netflix.com
zPaypal
EL futuro
zMicro-pagos
Comercio electrónico en Colombia
zwww.deremate.com
zwww.mercadolibre.com
zwww.movie-click.com
zwww.virtualexito.com
zBancos
zCine Colombia y Cinemark
Estrategias de seguridad para un sitio
Web
zAmbiente
{Intranet
{Internet
zAutenticación
{Autenticación consolidada (Directorio activo)
{Login y Password
{Captcha
{Teclados en pantalla
{E-Mail de confirmación
Estrategias de seguridad para un sitio
Web II
zTipo de contenido
{Institucional
{Académico
{Aplicaciones de oficina
{Redes sociales (facebook, myspace, orkut)
{Comercio electrónico (encripción)
Consideraciones de arquitectura para
sitios Web
zSistema operacional servidor
{Windows
{Linux
{Unix
zServidor WEB
{Internet Information Server (IIS)
{Apache
Consideraciones de arquitectura para
sitios Web II
z Lenguajes de programación
{HTML: presentación
{VBScript: interacción con el usuario
{JavaScript : interacción con el usuario
{ASP: scripting en el lado del servidor
{ASP.NET : scripting en el lado del servidor
{PHP : scripting en el lado del servidor
{XML: almacenmiento no estructurado de datos
{Flash: multimedia y presentación
{AJAX: HTML + Javascript
{SQL:consulta de datos
Consideraciones de arquitectura para
sitios Web III
zBase de datos
{MySQL
{Postgres
{SQL Server (2000, 2005, express)
{Oracle
zAcceso a base de datos
{Sentencias SQL
{Procedimientos
Consideraciones de arquitectura para
sitios Web IV
z Navegador de los usuarios (Browser)
{Archie, Gopher: Obsoletos
{Netscape navigator
{Mozilla Firefox
{Internet explorer (3, 4, 5, 6, 7)
{Opera
{Safari (Mac)
z Ambiente del usuario
{Computadores de escritorio
{PDAs: Agendas digitales
{Smartphones (Teléfonos celulares)