TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA TEMA 4. SEGURIDAD INFORMÁTICA. 1. NECESIDAD DE SEGURIDAD. PRINCIPIOS DE LA SEGURIDAD INFORMÁTICA. 2. TIPOS DE SEGURIDAD a. Seguridad Activa y Pasiva. b. Seguridad Física y Lógica. Principales Medidas 3. VULNERABILIDADES DE LOS SISTEMAS DE INFORMACIÓN: AMENAZAS Y FRAUDES a. Software malicioso, herramientas antimalware y antivirus, protección y desinfección. b. Amenazas y fraudes en las personas. i. Software para proteger a la persona. Control parental. ii. Responsabilidad digital. iii. Hábitos orientados a la protección de la intimidad y de la persona 4. SEGURIDAD EN REDES, INTERNET Y REDES SOCIALES a. Seguridad en redes cableadas (Cortafuegos, Proxy) e inalámbricas b. Seguridad en Internet: criptografía y protocolos seguros c. Redes sociales, acoso y convivencia en la red. d. La propiedad intelectual y la distribución del software. Intercambio de archivos en redes P2P. 5. LAS LEYES NOS PROTEGEN: LEGISLACIÓN 6. DIRECCIONES WEB SOBRE SEGURIDAD 1 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA 1. NECESIDAD DE SEGURIDAD. PRINCIPIOS DE SEGURIDAD INFORMÁTICA. La seguridad informática es el conjunto de medidas encaminadas a proteger el hardware, el software, la información y las personas. La necesidad de seguridad es una constante que ha acompañado a la historia del ordenador. Es necesario asegurar tanto la máquina como la información que contiene, así como garantizar la seguridad de los usuarios, Cualquier fallo en la seguridad puede tener consecuencias graves de tipo económico, social o personal. La revolución de Internet y su continua evolución conllevan un cambio radical en la forma de entender los riesgos informáticos. La irrupción del Big data y el Internet de las cosas obligará a elaborar nuevas estrategias de seguridad. La seguridad informática consiste en asegurar que los recursos de un sistema informático (datos, hardware y software) son bien utilizados y no pueden ser accedidos por personas no acreditadas. Seguridad es un concepto asociado a la certeza, falta de riesgo o contingencia. No siendo posible la certeza absoluta, el elemento de riesgo está siempre presente, independientemente de las medidas que tomemos, por lo que debemos hablar de niveles de seguridad. La seguridad absoluta no es posible, y en adelante entenderemos que la seguridad informática es un conjunto de técnicas encaminadas a obtener altos niveles seguridad en los sistemas informáticos. Los principales objetivos de la seguridad informática son: Detectar los posibles problemas y amenazas a la seguridad, minimizando y gestionando los riesgos. Garantizar la adecuada utilización de los recursos y de las aplicaciones de los sistemas. Limitar las pérdidas y conseguir la adecuada recuperación del sistema en caso de un incidente de seguridad. Cumplir con el marco legal y con los requisitos impuestos a nivel organizativo. PRINCIPOS DE SEGURIDAD INFORMÁTICA Un sistema seguro consiste en garantizar los principios de seguridad informática son (CIDAN): Confidencialidad: garantizar que la información solamente será accesible al personal autorizado. Integridad: propiedad que busca mantener los datos libres de actualizaciones no autorizadas Disponibilidad: la información debe encontrarse accesible a quien debe acceder a ella. Autenticación: confirmación de la identidad de un usuario, comprobando que es quien dice ser. No repudio: permite comprobar la participación de las partes en una comunicación. ALTA DISPONIBILIDAD: se refiere a la capacidad de que aplicaciones y datos se encuentren operativos para los usuarios autorizados en todomomento y sin interrupciones, debido a su carácter crítico. El objetivo es mantener el sistema funcionando las 24horas del día, 7 dias a la semana, 365 dias al año, manteniéndolo a salvo de interrupciones previstas (paralizamos el sistema para realizar cambios o mejoras) o imprevistas (apagón, error del hw/sw, problemas de seguridad, desasatre natural, virtus , accidentes, caída involuntaria del sistema). Las métricas para medir la disponibilidad y fiabilidad de un sistema son: El tiempo medio entre fallos, que mide el tiempo medio transcurrido hasta que un dispositivo falla. El tiempo medio de recuperación, que mide el tiempo medio tomado en restablecerse la situación normal una vez que se ha producido el fallo. 2 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA 2. TIPOS DE SEGURIDAD: 2.1. SEGURIDAD ACTIVA Y PASIVA. La seguridad activa es el conjunto de acciones encaminadas a proteger el ordenador y su contenido (contraseñas seguras, antivirus actuaqlizados…). Se trata de reducir las vulnerabilidades todo lo posible, prevenir ataques o errores, es preventiva. Medidas: Antivirus, firewall, encriptación de datos. La seguridad pasiva es la que intenta minimizar el impacto y los efectos causados por un posible daño, accidentes (hacer copias de seguridad de los datos, SAI frente a cortes de luz…). Es decir, se consideran acciones posteriores a un ataque o incidente (es paliativa). Comprende: 2.2. Copias de seguridad. Imágenes y restauración Seguridad física y ambiental Sistemas de alimentación ininterrumpida (SAI) SEGURIDAD FISICA Y LOGICA. SEGURIDAD FÍSICA Cuando hablamos de seguridad física nos referimos a todos aquellos mecanismos --generalmente de prevención y detección-- destinados a proteger físicamente cualquier recurso del sistema; estos recursos son desde un simple teclado hasta una cinta de backup con toda la información que hay en el sistema, pasando por la propia CPU de la máquina. Dependiendo del entorno y los sistemas a proteger esta seguridad será más o menos importante y restrictiva, aunque siempre deberemos tenerla en cuenta. A continuación mencionaremos algunos de los problemas de seguridad física con los que nos podemos enfrentar y las medidas que podemos tomar para evitarlos o al menos minimizar su impacto. Protección del hardware El hardware es frecuentemente el elemento más caro de todo sistema informático y por tanto las medidas encaminadas a asegurar su integridad son una parte importante de la seguridad física de cualquier organización. Problemas a los que nos enfrentamos: Acceso físico Desastres naturales Alteraciones del entorno Acceso físico Si alguien que desee atacar un sistema tiene acceso físico al mismo todo el resto de medidas de seguridad implantadas se convierten en inútiles. 3 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA De hecho, muchos ataques son entonces triviales, como por ejemplo los de denegación de servicio; si apagamos una máquina que proporciona un servicio es evidente que nadie podrá utilizarlo. Otros ataques se simplifican enormemente, p. ej. si deseamos obtener datos podemos copiar los ficheros o robar directamente los discos que los contienen. Incluso dependiendo el grado de vulnerabilidad del sistema es posible tomar el control total del mismo, por ejemplo reiniciándolo con un disco de recuperación que nos permita cambiar las claves de los usuarios. Este último tipo de ataque es un ejemplo claro de que la seguridad de todos los equipos es importante, generalmente si se controla el PC de un usuario autorizado de la red es mucho más sencillo atacar otros equipos de la misma. Para evitar todo este tipo de problemas deberemos implantar mecanismos de prevención (control de acceso a los recursos) y de detección (si un mecanismo de prevención falla o no existe debemos al menos detectar los accesos no autorizados cuanto antes). Para la prevención hay soluciones para todos los gustos y de todos los precios: analizadores de retina, tarjetas inteligentes, videocámaras, vigilantes jurados…. En muchos casos es suficiente con controlar el acceso a las salas y cerrar siempre con llave los despachos o salas donde hay equipos informáticos y no tener cableadas las tomas de red que estén accesibles. Para la detección de accesos se emplean medios técnicos, como cámaras de vigilancia de circuito cerrado o alarmas, aunque en muchos entornos es suficiente con qué las personas que utilizan los sistemas se conozcan entre si y sepan quien tiene y no tiene acceso a las distintas salas y equipos, de modo que les resulte sencillo detectar a personas desconocidas o a personas conocidas que se encuentran en sitios no adecuados. Desastres naturales Además de los posibles problemas causados por ataques realizados por personas, es importante tener en cuenta que también los desastres naturales pueden tener muy graves consecuencias, sobre todo si no los contemplamos en nuestra política de seguridad y su implantación. Algunos desastres naturales a tener en cuenta: Terremotos y vibraciones Tormentas eléctricas Inundaciones y humedad Incendios y humos Los terremotos son el desastre natural menos probable en la mayoría de organismos ubicados en España, por lo que no se harán grandes inversiones en prevenirlos, aunque hay varias cosas que se pueden hacer sin un desembolso elevado y que son útiles para prevenir problemas causados por pequeñas vibraciones: No situar equipos en sitios altos para evitar caídas, No colocar elementos móviles sobre los equipos para evitar que caigan sobre ellos, Separar los equipos de las ventanas para evitar que caigan por ellas o qué objetos lanzados desde el exterior los dañen, Utilizar fijaciones para elementos críticos, Colocar los equipos sobre plataformas de goma para que esta absorba las vibraciones, 4 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Otro desastre natural importante son las tormentas con aparato eléctrico, especialmente frecuentes en verano, que generan subidas súbitas de tensión muy superiores a las que pueda generar un problema en la red eléctrica. A parte de la protección mediante el uso de pararrayos, la única solución a este tipo de problemas es desconectar los equipos antes de una tormenta (qué por fortuna suelen ser fácilmente predecibles). En entornos normales es recomendable que haya un cierto grado de humedad, ya que en si el ambiente es extremadamente seco hay mucha electricidad estática. No obstante, tampoco interesa tener un nivel de humedad demasiadoa elevado, ya que puede producirse condensación en los circuitos integrados que den origen a un cortocircuito. En general no es necesario emplear ningún tipo de aparato para controlar la humedad, pero no está de más disponer de alarmas que nos avisen cuando haya niveles anómalos. Otro tema distinto son las inundaciones, ya que casi cualquier medio (máquinas, cintas, routers ...) que entre en contacto con el agua queda automáticamente inutilizado, bien por el propio líquido o bien por los cortocircuitos que genera en los sistemas electrónicos. Contra ellas podemos instalar sistemas de detección que apaguen los sistemas si se detecta agua y corten la corriente en cuanto estén apagados. Hay que indicar que los equipos deben estar por encima del sistema de detección de agua, sino cuando se intente parar ya estará mojado. Por último mencionaremos el fuego y los humos, que en general provendrán del incendio de equipos por sobrecarga eléctrica. Contra ellos emplearemos sistemas de extinción, que aunque pueden dañar los equipos que apaguemos (aunque actualmente son más o menos inocuos), nos evitarán males mayores. Además del fuego, también el humo es perjudicial para los equipos (incluso el del tabaco), al ser un abrasivo que ataca a todos los componentes, por lo que es recomendable mantenerlo lo más alejado posible de los equipos. Alteraciones del entorno En nuestro entorno de trabajo hay factores que pueden sufrir variaciones que afecten a nuestros sistemas que tendremos que conocer e intentar controlar. Deberemos contemplar problemas que pueden afectar el régimen de funcionamiento habitual de las máquinas como la alimentación eléctrica, el ruido eléctrico producido por los equipos o los cambios bruscos de temperatura. Electricidad Quizás los problemas derivados del entorno de trabajo más frecuentes son los relacionados con el sistema eléctrico que alimenta nuestros equipos; cortocircuitos, picos de tensión, cortes de flujo ... Para corregir los problemas con las subidas de tensión podremos instalar tomas de tierra o filtros reguladores de tensión. Para los cortes podemos emplear Sistemas de Alimentación Ininterrumpida (SAI), que además de proteger ante cortes mantienen el flujo de corriente constante, evitando las subidas y bajadas de tensión. Estos equipos disponen de baterias que permiten mantener varios minutos los aparatos conectados a ellos, permitiendo que los sistemas se apaguen de forma ordenada (generalmente disponen de algún mecanísmo para comunicarse con los servidores y avisarlos de que ha caido la línea o de que se ha restaurado después de una caida). Por último indicar que además de los problemas del sistema eléctrico también debemos preocuparnos de la corriente estática, que puede dañar los equipos. Para evitar problemas se pueden emplear esprais antiestáticos o ionizadores y tener cuidado de no tocar componentes metálicos, evitar que el ambiente esté excesivamente seco, etc. Ruido eléctrico El ruido eléctrico suele ser generado por motores o por maquinaria pesada, pero también puede serlo por otros ordenadores o por multitud de aparatos, y se transmite a través del espacio o de líneas eléctricas cercanas a nuestra instalación. 5 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Para prevenir los problemas que puede causar el ruido eléctrico lo más barato es intentar no situar el hardware cerca de los elementos que pueden causar el ruido. En caso de que fuese necesario hacerlo siempre podemos instalar filtos o apantallar las cajas de los equipos. Temperaturas extremas No hace falta ser un genio para comprender que las temperaturas extremas, ya sea un calor excesivo o un frio intenso, perjudican gravemente a todos los equipos. En general es recomendable que los equipos operen entre 10 y 32 grados Celsius. Para controlar la temperatura emplearemos aparatos de aire acondicionado. Protección de los datos Además proteger el hardware nuestra política de seguridad debe incluir medidas de protección de los datos, ya que en realidad la mayoría de ataques tienen como objetivo la obtención de información, no la destrucción del medio físico que la contiene. En los puntos siguientes mencionaremos los problemas de seguridad que afectan a la transmisión y almacenamiento de datos, proponiendo medidas para reducir el riesgo. Eavesdropping La interceptación o eavesdropping, también conocida por ''passive wiretapping'' es un proceso mediante el cual un agente capta información que va dirigida a él; esta captación puede realizarse por muchísimos medios: sniffing en redes ethernet o inalámbricas (un dispositivo se pone en modo promiscuo y analiza todo el tráfico que pasa por la red), capturando radiaciones electromagnéticas (muy caro, pero permite detectar teclas pulsadas, contenidos de pantallas, ...), etc. El problema de este tipo de ataque es que en principio es completamente pasivo y en general difícil de detectar mientras se produce, de forma que un atacante puede capturar información privilegiada y claves que puede emplear para atacar de modo activo. Para evitar que funcionen los sniffer existen diversas soluciones, aunque al final la única realmente útil es cifrar toda la información que viaja por la red (sea a través de cables o por el aire). En principio para conseguir esto se deberían emplear versiones seguras de los protocolos de uso común, siempre y cuando queramos proteger la información. Hoy en día casi todos los protocolos basados en TCP permiten usar una versión cifrada mendiante el uso del TLS. Copias de seguridad Es evidente que es necesario establecer una política adecuada de copias de seguridad en cualquier organización; al igual que sucede con el resto de equipos y sistemas, los medios donde residen estas copias tendrán que estar protegidos físicamente; de hecho quizás deberíamos de emplear medidas más fuertes, ya que en realidad es fácil que en una sola cinta haya copias de la información contenida en varios servidores. Lo primero que debemos pensar es dónde se almacenan los dispositivos donde se realizan las copias. Un error muy habitual es almacenarlos en lugares muy cercanos a la sala de operaciones, cuando no en la misma sala; esto, que en principio puede parecer correcto (y cómodo si necesitamos restaurar unos archivos) puede convertirse en un problema serio si se produce cualquier tipo de desastre (como p. ej. un incendio). Hay que pensar que en general el hardware se puede volver a comprar, pero una pérdida de información puede ser ireemplazable. Así pues, lo más recomendable es guardar las copias en una zona alejada de la sala de operaciones; lo que se suele recomendar es disponer de varios niveles de copia, una que se almacena en una caja de seguridad en un lugar alejado y que se renueva con una periodicidad alta y otras de uso frecuente que se almacenan en lugares más próximos (aunque a poder ser lejos de la sala donde se encuentran los equipos copiados). 6 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Para proteger más aun la información copiada se pueden emplear mecanísmos de cifrado, de modo que la copia que guardamos no sirva de nada si no disponemos de la clave para recuperar los datos almacenados. Soportes no electrónicos Otro elemento importante en la protección de la información son los elementos no electrónicos que se emplean para transmitirla, fundamentalmente el papel. Es importante que en las organizaciones que se maneje información confidencial se controlen los sistemas que permiten exportarla tanto en formato electrónico como en no electrónico (impresoras, plotters, faxes, teletipos, ...). Cualquier dispositivo por el que pueda salir información de nuestro sistema ha de estar situado en un lugar de acceso restringido; también es conveniente que sea de acceso restringido el lugar donde los usuarios recogen los documentos que lanzan a estos dispositivos. Además de esto es recomendable disponer de trituradoras de papel para destruir todos los papeles o documentos que se quieran destruir, ya que evitaremos que un posible atacante pueda obtener información rebuscando en nuestra basura. La seguridad física se refiere a aspectos físicos del Centro de Proceso de Datos (CPD): suelo y techo técnico, puertas cerradas con llave, biometría, seguridad contra incendios o inundaciones, etc… El activo más importante que poseen las organizaciones es la información, por tanto deben existir técnicas más allá de la seguridad física que la aseguren. Estas técnicas las brinda la seguridad lógica. SEGURIDAD LÓGICA La seguridad lógica consiste en la aplicación de barreras y procedimientos que resguarden el acceso a los datos, que solo se permita acceder a ellos a las personas autorizadas para hacerlo. La seguridad lógica se basa, en gran medida, en la efectiva administración de los permisos y el control de acceso a los recursos informáticos, basados en la identificación, autenticación y autorización de los accesos. La seguridad lógica se refiere a la seguridad en el uso de software y los sistemas, la protección de los datos, procesos y programas, así como la del acceso ordenado y autorizado de los usuarios a la información. Involucra todas aquellas medidas establecidas por la administración -usuarios y administradores de recursos de tecnología de información- para minimizar los riesgos de seguridad asociados con sus operaciones cotidianas llevadas a cabo utilizando la tecnología de información. El acceso a los archivos de datos y programas sólo se permitirá al personal autorizado. Los principales objetivos que persigue la seguridad lógica son: Restringir el acceso a los programas y archivos Asegurar que se estén utilizando los datos, archivos y programas correctos en y por el procedimiento correcto. MEDIDAS DE SEGURIDAD LÓGICA: Control de acceso lógico: Política de contraseñas Política de usuarios y grupos del Sistema Operativo en red. Criptografía (de clave asimétrica: Certificados digitales) Actualización de sistemas y aplicaciones software. Antivirus, antiespías…. Firewall o Cortafuegos: control del tráfico de red. Proxy (intermediario entre el cliente y el servidor web) Protocolos seguros: HTTPS, IPSec, TSL, SSL… CONTROL DE ACCESO LÓGICO Política de contraseñas. Seguridad de contraseñas. 7 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Control de acceso a la BIOS, Control de acceso al sistema: a la cuenta de usuario, a las carpetas… Política de usuarios y grupos Principios de la Seguridad lógica Algunas de las amenazas que deberían combatir los administradores de sistemas son los accesos y modificaciones no autorizados a datos y a aplicaciones. La seguridad lógica se basa en la efectiva administración de los permisos y el control a los recursos informáticos basados en la identificación, autenticación y autorización de accesos. CONTROL DE ACCESO LÓGICO Es la principal defensa de los sistemas, permiten prevenir el acceso a personas no autorizadas y al ingreso de la información de los mismos. Se pueden implementar directamente en la BIOS, en el sistema operativo, sobre los sistemas de aplicación, en un paquete específico de seguridad y en cualquier otra aplicación. Se emplean 2 procesos para la tarea de controlar el acceso: Identificación: Cuando el usuario se da a conocer al sistema Autenticación: La verificación del sistema a la identificación del usuario Existen 4 tipos que permitan realizar la autenticación de la identificación del usuario, las cuales pueden ser utilizadas: - Algo que el usuario solamente conozca (una clave, un pin…) - Algo que la persona posee (tarjeta...) - Algo que el individuo es (huella digital, voz…) - Algo que el individuo es capaz de hacer (patrones de escritura) Los sistemas de control de acceso protegidos con contraseña, suelen ser un punto crítico de la seguridad y por ello suelen recibir distintos tipos de ataques, los más comunes: - Ataque de fuerza bruta: Se intenta obtener la clave realizando todas las combinaciones posibles hasta encontrar la correcta, es aún más sencillo si la clave es corta. - Ataque de diccionario: Obtienen la clave probando todas las palabras del diccionario o palabras comunes del usuario. Una forma sencilla de evitar este tipo de ataques se establece un número máximo de tentativas, de esta manera se bloquea el sistema automáticamente después de exceder este número máximo. La seguridad se basa en gran medida en la efectiva administración de los permisos de acceso a los recursos informáticos. - Roles: En este caso los derechos de acceso y políticas de seguridad, pueden agruparse de acuerdo con el rol de los usuarios. Pueden controlarse a tares de la función, perfil o rol del usuario que requiere dicho acceso. - Limitaciones a los servicios: Se refieren a las restricciones que dependen de parámetros propios de la utilización de la aplicación o preestablecidos por el administrador del sistema. - Modalidad de acceso: Se refiere al modo de acceso que se le permite al usuario los recursos y la información. Ejemplo: lectura, escritura, ejecución borrado, todas las anteriores. - Ubicación y horario: Permite limitar el acceso de los usuarios a determinadas horas del día o a determinados días de la semana. - Administración: Ya planteado los controles de accesos se deben tener una excelente administración de los mismos, involucrando la implementación, seguimientos, pruebas y modificaciones sobre los accesos de los usuarios al sistema. También requiere determinar cuál será el nivel de seguridad en los 8 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA datos, se debe clasificar la información para los diferentes usuarios que accederán al sistema los cuales requieren también distintas medidas y niveles de seguridad. - Administración del personal y usuarios. Llevan 4 pasos: 1. Definición de puestos: Debe enfocarse en la separación de las funciones; es decir, tener en claro el puesto que desempeñe cada uno de los usuarios del sistema otorgándoles permisos mínimos de acceso. 2. Determinación de la sensibilidad del puesto: Se debe realizar un análisis profundo antes de asignar los permisos a los usuarios, tomando en cuenta que si algunos de dichos privilegios son arriesgados permitiendo alterar procesos, fraudes o mostrar cierta información confidencial. 3. Elección de la persona para cada puesto: Revisar el nivel de confiabilidad y grado de experiencia antes de asignarle el cargo a dicha persona. 4. Entrenamiento inicial y continuo del empleado: Se debe presentar las políticas de seguridad y su responsabilidad en cuanto la persona ingrese a trabajar. IDENTIFICACION Para conseguir que la contraseña sea segura tomemos en cuenta los siguientes criterios: Que no sea corta: Mínimo de 8 caracteres Combina letras, números y símbolos (.,-…) Mientras menos tipos de caracterese haya más larga debe ser Si no contiene ningún tipo de símbolos debe ser más larga No limitarse a caracteres comunes No ser una palabra incluida en el diccionario. ACTUALIZACIONES DE SISTEMAS Y APLICACIONES Los ciberdelicuentes se aprovechan de las vulnerabilidades que requieren una actualización inmediata de los sistemas, los fabricantes de software actualizan sus sistemas cada vez que encuentran agujeros de seguridad. 3. VULNERABILIDADES DE LOS SISTEMAS DE INFORMACIÓN 3.1. MALWARE O SOFTWARE MALICIOSO, HERRAMIENTAS ANTIMALWARE Y ANTIVIRUS, PROTECCIÓN Y DESINFECCIÓN. VIRUS: programa que se instala sin el permiso del usuario con el objetivo de causar daños. Puede autorreplicarse e infectar a otros ordenadores. Para propagarse puede valerse de memorias portátiles, software , correo electrónico, internet… GUSANO: programa malicioso cuya finalidad es desbordar la memoria del sistema reproduciéndose a si mismo. TROYANO: tipo de virus en el que se han introducido, camufladas en otro programa, instrucciones encaminadas a destruir la información almacenada en los discos o bien a recabar información. Suelen estar alojados en archivos aparentemente inofensivos, como una imagen o un archivo de música, y se instalan al abrir el archivo que los contiene. KEYLOGER: es un tipo de programa que se encarga de obtener y memorizar las pulsaciones que se realizan en el teclado. Puede usarse para espiar de forma remota, con el objetivo de obtener contraseñas del usuario. SPYWARE: o software espía, se puede considerar que son los troyanos, el adware y los hijackers. ADWARE: (de advertisement software) es software de publicidad incluida en programas que la muestran despues de instalarse. El problema viene cuando estos programas actúan como spyware, incluyendo código para recoger información personal del usuario. 9 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA HIJACKERS O SECUESTRADORES: son programas que secuestran a otros programas para usar sus derechos o para modificar su comportamiento. El caso más habitual es el ataque a un navegador, modificando la página de inicio y redireccionando las páginas de búsqueda sin el consentimiento del usuario. HERRAMIENTAS ANTIMALWARE: ANTIVIRUS Un antivirus es un software que analiza las distintas unidades y dispositivos del PC, así como el flujo de datos entrante y saliente, revisando el código de los archivos, para buscar y eliminar malware. Emplea una base de datos con distintos virus. El antivirus puede detectar virus y solo a veces identificarlos. Podemos estar tranquilos si tenemos un antivirus instalado y actualizado. Existen antivirus libres (Avast, Avira, Avg…) HACKERS Y CRACKERS Los hackers son expertos informáticos que, en principio, solo se plantean retos intelectuales. El hacker no tiene por qué pretender causar daños; de hecho existen empresas de hacking ético (white hacking) que ayudan a las personas y empresas a saber cuál es su nivel de seguridad frente a hackers maliciosos. A veces se confunde a los hackers con piratas informáticos (black hackers) , que intentan atentar contra la seguridad de sistemas en la red y lucrarse con ello. Los crackers son personas que se dedican a cambiar el funcionamiento de un programa comercial o bien a realizar aplicaciones que obtengan números de serie validos para usarlos sin licencia (piratearlos). OTRAS TÉCNICAS Y CONCEPTOS SPAM O CORREO BASURA: son mensajes de correo electrónico que inundan la red con l finalidad de anunciar productos, a veces de dudosa legalidad, para que los usuarios los compren. Se envían de forma masiva porque está demostrado que uno de cada 12 millones de coreos enviados obtiene una respuesta positiva. HOAXES: son cadenas de correo iniciadas por empresas para poder recopilar las direcciones de correo de muchos usuarios y posteriormente hacer mailing (spam). Se aprovechan de la bondad, la credulidad y la superstición de las personas. Es u na práctica no ilegal en la actualidad. PHARMING: es una práctica que consisten en redirigir un nombre de dominio a otra máquina distinta, de forma que un usuario que introduzca una URL acceda a la página web del atacante. De este modo se puede, por ejemplo, suplantar la pagina web de un banco para obtener claves de la víctima. COOKIES: son archivos de texto que se almacenan en el ordenador a través del navegador cuando visitamos una página web, para que esta web los lea en visitas posteriores. No son un riesgo ni una amenaza mientras solo pretendan facilitarnos el acceso al sitio. Se puede considerar spyware no malicioso. LA INGENIERÍA SOCIAL es la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos. Es una técnica que pueden usar ciertas personas, tales como investigadores privados, criminales, o delincuentes informáticos, para obtener información, acceso o privilegios en sistemas de información que les permitan realizar algún acto que perjudique o exponga la persona u organismo comprometido a riesgo o abusos. RAMSOMWARE: (del inglés ransom, ‘rescate’, y ware, por software) es un tipo de programa informático malintencionado que restringe el acceso a determinadas partes o archivos del sistema infectado, y pide un rescate a cambio de quitar esta restricción. Algunos tipos de ransomware cifran los archivos del sistema operativo inutilizando el dispositivo y coaccionando al usuario a pagar el rescate.Normalmente un ransomware se transmite tanto como un troyano como un gusano, infectando el sistema operativo, por ejemplo, con un archivo descargado o explotando una vulnerabilidad de software. En este punto, el ransomware se iniciará y cifrará los archivos del usuario con una determinada clave, que sólo el creador del ransomware conoce y proveerá al usuario que la reclame a cambio de un pago. Un ANTIVIRUS es un software cuyo objetivo es detectar o eliminar virus informáticos. Con el transcurso del tiempo, los antivirus han evolucionado hacia programas más avanzados que además de buscar y detectar virus informáticos consiguen bloquearlos, desinfectar archivos y prevenir una infección de los mismos. Actualmente son capaces de reconocer otros tipos de malware como spyware, gusanos, troyanos, etc. Existen antivirus gratuitos, como Avast, AVG o Avira. 10 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA 3.2. AMENAZAS Y FRAUDES EN INTERNET SCAM: un correo electrónico o página web fraudulenta, que pretende estafar económicamente por medio del engaño, generalmente presentado como donación a recibir, lotería o premio al que se accede previo envío de dinero. Las cadenas de mail engañosas pueden ser scams si hay pérdida monetaria y hoax cuando sólo hay engaño. Las denominadas PTC (Pay to Click) pueden convertirse en Scam al dejar de pagar en los plazos especificados en ellos. Comienzan alargando los plazos de pago, sin previo aviso, y terminan desapareciendo de la red llevándose jugosas ganancias por el dinero invertido de miles de usuarios. Phishing o “pescar” es una técnica que consiste en simular o copiar una página web, generalmente de entidades bancarias. Se hace un envío masivo de correos para que los que son clientes de la entidad accedan y faciliten sus datos de usuario y contraseña mediante alguna excusa (actualización, verificación…). Una vez el usuario teclea sus datos, los delincuentes pueden proceder a operar con los mismos. Los estafadores consiguen simular a la perfección las páginas web, logrando así que los usuarios no se percaten del engaño. El phishing no es exclusivo de las páginas de entidades bancarias. Se recomienda no adquirir productos en páginas webs desconocidas y que no inspiren confianza, acudiendo preferiblemente a comercios con servidores seguros. HOAX (BULOS): Se trata de bulos e historias inventadas, que no son más que eso, mentiras solapadas en narraciones cuyo fin último es destapar el interés del lector o destinatario. Dichas comunicaciones pueden tener como finalidad última: Conseguir dinero -como en el ejemplo expuesto convirtiéndose en scam-, propagar un virus o generar un reacción masiva frente a una entidad. Últimamente, este tipo de comunicaciones se están recibiendo en teléfonos móviles Loterías falsas: Falso premio de loterías, el usuario recibe un correo electrónico donde le notifican que tiene un premio de lotería, si un usuario contesta a este correo le solicitaran a continuación todos datos bancarios para un falso ingreso del premio. En otros casos se le solicita un parte del premio que tendrá que enviarlo a un país para poder cobrar el premio completo. En todos los casos el premio es falso. Subasta falsa: Oferta de artículos a muy bajo precio (telefonía móvil generalmente), el pago siempre es por adelantado, pueden también usar sitios falsos imitando grandes casas de subasta en línea como ebay. La mejor medida: la prevención. Hay un sitio que ayuda a detectar si un correo es scam o no (http://scamomatic.com/ ) o también se puede descargar esta ayuda para Internet Explorer 6 o superior y firefox Site Advisor de McAfee (http://www.siteadvisor.com/). Existen muchos sitios especializados en mantener una lista actualizada con todos los sitios que se han convertido en Scam. Utilizando cualquier buscador, se puede buscar como "lista de scams" y se obtendrán muchos sitios que contienen esas listas actualizadas. 4. SEGURIDAD EN REDES, INTERNET Y REDES SOCIALES 4.1. SEGURIDAD EN REDES DE ORDENADORES 4.1.1. SEGURIDAD EN REDES CABLEADAS CORTAFUEGOS (FIREWALL) Es un sistema de defensa que controla y filtra el tráfico de entrada y salida a una red. El cortafuegos se configura para que controle el tráfico de los puertos (las conexiones de nuestro ordenador se hacen a través de puertos), y nos muestre alertas para pedir confirmación de cualquier programa que utilice la conexión a internet. Es muy importante realizar esta configuración con criterio. Normalmente están incorporado en los sistemas operativos , pero existen otros de software libre o propietario (ZoneAlarm, Firestarter…). 11 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA PROXY: es un software que funciona como intermediario entre las peticiones que hace un cliente y el servidor web. El proxy intercepta las peticiones del cliente y las reenvía al servidor. Fines: seguridad, rendimiento , bloquear o filtrar contenidos, anonimato, balanceo de carga, ... El proxy puede hacer de caché guardando las páginas más visitadas, para no tener que pedirlas de nuevo al servidor, reduciendo así el tráfico en la red. CRIPTOGRAFÍA. CIFRADO DE CLAVE SIMETRICA Y ASIMETRICA La criptografía es la ciencia de cifrar y descifrar mensajes o informaciones mediante técnicas especiales, que emplean un algoritmo y una o varias claves de cifrado/descifrado. La criptografía simétrica es un método criptográfico en el cual se usa una misma clave para cifrar y descifrar mensajes. Las dos partes que se comunican (emisor y receptor) deben ponerse de acuerdo de antemano sobre la clave a usar. Una vez ambas tienen acceso a esta clave, el remitente cifra un mensaje usándola, lo envía al destinatario y éste lo descifra con la misma clave. La criptografía de clave asimétrica es un método criptográfico en el cual se usa una pareja de claves: Clave privada: será custodiada por su propietario y no se dará a conocer a ningún otro. Clave pública: conocida por todos los usuarios. Esta pareja de claves es complementaria: lo que cifra una sólo lo puede descifrar la otra y viceversa. Es imposible conocer una clave a partir de la otra. Estos sistemas de cifrado se basan en funciones resumen o funciones hash de un solo sentido, que aprovechan propiedades particulares, por ejemplo, los números primos. Una función en un solo sentido es aquella cuya computación es fácil, mientras que su inversión resulta extraordinariamente difícil. Por ejemplo, es fácil multiplicar dos números primos juntos para obtener un compuesto, pero es difícil factorizar uno compuesto en sus componentes primos. Algunos algoritmos empleados como funciones hash son MD5 y SHA. Un CERTIFICADO DIGITAL es un fichero informático generado por una entidad de servicios de certificación que asocia unos datos de identidad a una persona física, organismo o empresa confirmando de esta manera su identidad digital en Internet. El certificado digital es válido principalmente para autenticar a un usuario o sitio web en internet por lo que es necesaria la colaboración de un tercero que sea de confianza para cualquiera de las partes que participe en la comunicación. El nombre asociado a esta entidad de confianza es Autoridad Certificadora pudiendo ser un organismo público o empresa reconocida en Internet (Como la Fabrica Nacional de Moneda y Timbre:FNMT) El certificado digital tiene como función principal autenticar al poseedor pero puede servir también para cifrar las comunicaciones y firmar digitalmente. En algunas administraciones públicas y empresas privadas es requerido para poder realizar ciertos trámites que involucren intercambio de información delicada entre las partes. 4.1.2. SEGURIDAD EN REDES INALAMBRICAS: Las redes inalámbricas, al funcionar con ondas electromagnéticas, tienen el inconveniente de que cualquier intruso con un dispositivo móvil puede intentar acceder a la red. Debemos por tanto configurarla de forma que sólo puedan acceder a ella los usuarios acreditados. A continuación figuran algunas opciones de seguridad de redes inalámbricas: Acceso protegido WiFi (WPA2) 12 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA WPA2, Wi-Fi Protected Access, en español «Acceso Wi-Fi protegido», es un sistema para proteger las redes inalámbricas, creado para corregir las deficiencias del sistema previo, Wired Equivalent Privacy (WEP). WPA adopta la autenticación de usuarios mediante el uso de un servidor, donde se almacenan las credenciales y contraseñas de los usuarios de la red. Para no obligar al uso de tal servidor para el despliegue de redes, WPA permite la autenticación mediante una clave precompartida, que de un modo similar al WEP, requiere introducir la misma clave en todos los equipos de la red. WPA2, creado para corregir las deficiencias del sistema previo (WPA), utiliza el algoritmo de cifrado AES (Advanced Encryption Standard), que es más seguro que el de WPA. Filtrado MAC Una dirección MAC es el identificador único asignado por el fabricante a una pieza de hardware de red (como una tarjeta inalámbrica o una tarjeta Ethernet). «MAC» significa Media Access Control, y cada código tiene la intención de ser único para un dispositivo en particular. Una dirección MAC consiste en seis grupos de dos caracteres, cada uno de ellos separadoS por dos puntos. 00:1B:44:11:3A:B7 es un ejemplo de dirección MAC. 4.2. SEGURIDAD EN INTERNET 4.2.1. RIESGOS DE INTERNET Pese a las infinitas posibilidades que ofrece Internet como infraestructura económica y cultural para facilitar muchas de las actividades humanas y contribuir a una mejor satisfacción de nuestras necesidades y a nuestro desarrollo personal, el uso de Internet también conlleva riesgos. Riesgos relacionados con la información Las personas frecuentemente necesitamos información para realizar nuestras actividades, y muchas veces la podemos obtener en Internet de manera más rápida, cómoda y económica que en el "mundo físico". No obstante hemos de considerar posibles riesgos: Acceso a información poco fiable y falsa. Existe mucha información errónea y poco actualizada en Internet, ya que cualquiera puede poner información en la red. Dispersión, pérdida de tiempo. A veces se pierde mucho tiempo para localizar la información que se necesita, es fácil perderse navegando. Acceso a información inapropiada y nociva. Existen webs que pese a contener información científica, pueden resultar inapropiadas y hasta nocivas por el modo en el que se abordan los temas o la crudeza de las imágenes. Acceso a información peligrosa, inmoral, ilícita. Existe información poco recomendable y hasta con contenidos considerados delictivos. La globalidad de Internet y las diferentes culturas y legislaciones de los países hacen posible la existencia de estas páginas web en el ciberespacio. Riesgos relacionados con la comunicación Las personas muchas veces necesitamos comunicarnos. Internet nos ofrece infinidad de canales y oportunidades (e-mail, chats, weblogs...), aunque conllevan algunos riesgos: Bloqueo del buzón de correo. El adjuntar grandes archivos a los correos sin pedir previamente autorización al receptor del mensaje puede bloquear temporalmente su buzón de correo. Recepción de "mensajes basura". Ante la carencia de una legislación adecuada, por e-mail se reciben muchos mensajes de propaganda no deseada (spam) o con virus. Recepción de mensajes personales ofensivos. Al comunicarse en los foros virtuales, como los mensajes escritos (a menudo mal redactados y siempre privados del contacto visual y la 13 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA interaccción inmediata con el emisor) se prestan más a malentendidos que pueden resultar ofensivos para algunos de sus receptores Pérdida de intimidad. En ocasiones, hasta de manera inconsciente al participar en los foros, se puede proporcionar información personal, familiar o de terceras personas a gente desconocida. Acciones ilegales. Difundir determinadas opiniones o contenidos, insultar o amenazar a través de Internet... puede acarrear responsabilidades judiciales. Malas compañías. Especialmente en los chats, se puede entrar en contacto con personas que utilizan identidades falsas con oscuras intenciones. Riesgos relacionados con actividades económicas. En internet se pueden llevar a cabo operaciones con repercusión económica, pudiendo suponer estas algunos riesgos como estafas, robos, negocios ilegales, delitos de propiedad intelectual, compras inducidas por publicidad abusiva o a menores sin autorización paterna. Riesgos relacionados con la tecnología A veces por limitaciones tecnológicas, a veces por actos de sabotaje y piratería, y que aún resultan incontrolables: virus,spam, troyanos, spywares, etc. Riesgos relacionados con adicciones El uso de internet también puede causar adicción, pudiendo considerar que una persona la padece cuando ésta es incapaz de controlar el tiempo que está conectado. Además de que Internet puede ser usado para potenciar otras adicciones como juego, compras compulsivas, pornografía, etc. A pesar de que la mayoría de estos riesgos son los mismos que nos podemos encontrar en el mundo real, internet los potencia al: Facilitar el acceso a la información Favorecer el anonimato Conceder accesibilidad permanente Facilitar comunicación interpersonal 4.2.2. TUNNELING, VPN Y PROTOCOLOS SEGUROS Hoy día existe un gran número de individuos, compañías, computadoras, lectores de tarjetas magnéticas…. se comunican usando una variedad de canales (teléfono, correo electrónico, radio.. ) o dispositivos físicos (tarjetas bancarias, móviles . . . ). Un protocolo de seguridad define las reglas que gobiernan estas comunicaciones, diseñadas para que el sistema pueda soportar ataques de carácter malicioso. Protegerse contra todos los ataques posibles es generalmente muy costoso, por lo cual los protocolos son diseñados bajo ciertas premisas con respecto a los riesgos a los cuales el sistema está expuesto. Existen varios protocolos posibles. Las distintas compañías que instalan y administran este tipo de redes elige unos u otros protocolos. En todos los casos se cran túneles entre origen y destino. Dentro de estos túneles viaja la información, bien por una conexión normal (en este caso no se encriptan los datos) o bien por una conexión VPN. El protocolo IP Sec es uno de los más empleados. Este se basa en GRE que es un protocolo de tunneling. Este protocolo también se utiliza de forma conjunta con otros protocolos como PPTP. Algunos protocolos de seguridad en Internet: Hypertext Transfer Protocol Secure (HTTPS) TSL Y SSL Generic Routing Encapsulation (GRE 47) Point-to-Point Tunneling Protocol (PPTP) IP Sec Protocolo de tunelado nivel 2 (L2TP) 14 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Secure shell (SSH) Leer Anexo 1. Protocolos seguros TUNNELING Se conoce como túnel o tunneling a la técnica que consiste en encapsular un protocolo de red sobre otro (protocolo de red encapsulador) creando un túnel de información dentro de una red de computadoras. El uso de esta técnica persigue diferentes objetivos, dependiendo del problema que se esté tratando, como por ejemplo la comunicación de islas en escenarios multicast, la redirección de tráfico, etc. La técnica de tunelizar se suele utilizar para transportar un protocolo determinado a través de una red que, en condiciones normales, no lo aceptaría. Otro uso de la tunelización de protocolos es la creación de diversos tipos de redes privadas virtuales. VPN: RED PRIVADA VIRTUAL Una red privada virtual (RPV), en inglés: Virtual Private Network (VPN), es una tecnología de red de computadoras que permite una extensión segura de la red de área local (LAN) sobre una red pública o no controlada como Internet. Permite que la computadora en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada con toda la funcionalidad, seguridad y políticas de gestión de una red privada.1 Esto se realiza estableciendo una conexión virtual punto a punto mediante el uso de conexiones dedicadas, cifrado o la combinación de ambos métodos. Ejemplos comunes son la posibilidad de conectar dos o más sucursales de una empresa utilizando como vínculo Internet, permitir a los miembros del equipo de soporte técnico la conexión desde su casa al centro de cómputo, o que un usuario pueda acceder a su equipo doméstico desde un sitio remoto, como por ejemplo un hotel. Todo ello utilizando la infraestructura de Internet. 4.2.3. FIRMA Y CERTIFICADO DIGITAL Un certificado digital o certificado electrónico es un fichero informático generado por una entidad de servicios de certificación que asocia unos datos de identidad a una persona física, organismo o empresa confirmando de esta manera su identidad digital en Internet. El certificado digital es válido principalmente para autenticar a un usuario o sitio web en internet por lo que es necesaria la colaboración de un tercero que sea de confianza para cualquiera de las partes que participe en la comunicación. El nombre asociado a esta entidad de confianza es Autoridad Certificadora pudiendo ser un organismo público o empresa reconocida en Internet. El certificado digital tiene como función principal autenticar al poseedor pero puede servir también para cifrar las comunicaciones y firmar digitalmente. En algunas administraciones públicas y empresas privadas es requerido para poder realizar ciertos trámites que involucren intercambio de información delicada entre las partes. Una firma digital es un mecanismo criptográfico que permite al receptor de un mensaje firmado digitalmente identificar a la entidad originadora de dicho mensaje (autenticación de origen y no repudio), 15 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA y confirmar que el mensaje no ha sido alterado desde que fue firmado por el originador (integridad). La firma digital se aplica en aquellas áreas donde es importante poder verificar la autenticidad y la integridad de ciertos datos, por ejemplo documentos electrónicos o software, ya que proporciona una herramienta para detectar la falsificación y la manipulación del contenido 4.3. SEGURIDAD EN LAS REDES SOCIALES: ACOSO Y CONVIVENCIA EN LA RED Ten cuidado con lo que publicas, porque aunque lo borres queda registrado . Cuida tu identidad digital En las redes sociales tenemos mucha información personal, fotografías nuestras y de nuestros familiares, información sobre nuestros gustos... por lo que resulta un campo interesante para personas malintencionadas. Con tanta información al alcance, se pueden producir situaciones como el robo de identidad o la suplantación de identidad. Robo de identidad: Alguien se ha hecho con nuestra cuenta y se hace pasar por nosotros publicando o enviando mensajes en nuestro nombre. Ha accedido a través de nuestra contraseña. Suplantación de identidad: Alguien ha creado un perfil con nuestros datos y fotografías para que la gente piense que somos nosotros. Tanto en un caso como en otro, el delincuente puede utilizar nuestra imagen y nuestros datos para realizar acciones delictivas. Para evitar este problema, debemos tener mucho cuidado en entornos no seguros: equipos compartidos o públicos y redes WiFi no confiables. Si es posible, lo más prudente es no acceder desde estos sitios. Si lo hacemos, debemos recordar cerrar siempre la sesión al terminar, y no permitir recordar la contraseña. También debemos denunciar al centro de seguridad de la red social cualquier sospecha de suplantación, tanto si somos nosotros las víctimas como si sospechamos que pueden estar suplantando a otra persona. Si pensamos que la suplantación de identidad puede haber ido más lejos y que se han realizado actos delictivos con nuestra identidad, debemos denunciarlo ante las Fuerzas y Cuerpos de Seguridad del Estado (FCSE). Suplantación de identidad, robo de identidad y ciberacoso son algunos de los delitos más frecuentes en redes sociales. Actúa frente a los acosadores Algunas personas utilizan las redes sociales para intimidar a otros usuarios mediante insultos, amenazas, fotos comprometidas o difusión de rumores falsos. También podemos ser víctimas de ciberacoso. Al ciberacoso están expuestos tanto los menores como los adultos, pudiendo generar situaciones verdaderamente dramáticas y complicadas. Si en una red social sufrimos algún tipo de acoso, tenemos que ignorar y bloquear al acosador y guardar las pruebas del acoso: sacar pantallazos y no borrar los mensajes, por ejemplo. Además, debemos informar de la situación al centro de seguridad de la red social y denunciar el acoso a las Fuerzas y Cuerpos de Seguridad del Estado. Consejos finales Las redes sociales son estupendas herramientas de comunicación con otras personas, pero debemos utilizarlas de forma segura. Para ello: - Configura adecuadamente la privacidad de tu perfil. - Filtra la información que subes a Internet. Ten en cuenta que una vez subida pierdes el control de la misma. - Piensa antes de publicar algo, ya que una vez publicado no sabes si saldrá de la red social. Podrán utilizar esa información en tu contra. - Revisa las aplicaciones instaladas y ten cuidado con publicaciones sospechosas, aunque provengan de contactos conocidos. - Las principales redes sociales se toman muy en serio los problemas de seguridad de sus usuarios. Si tienes problemas, contacta con ellos a través de los mecanismos de contacto o de denuncia que facilitan. 16 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA - Asegúrate de que tus contactos en las redes sociales son realmente quienes crees que son. No nos conformemos con ver la foto, el nombre o que es amigo de nuestros amigos. - Al igual que en la vida real, en las redes sociales también debemos ser respetuosos y tratar con educación a nuestros contactos. No envíes mensajes ofensivos a ningún contacto. Debes ser respetuoso y tratar con educación a tus contactos. - No compartas fotos ni vídeos en los que aparezcas en situaciones comprometidas (sexting). - No te olvides de leer la política de privacidad y las condiciones del servicio antes de usarlo. El grooming (en español «acicalando») es una serie de conductas y acciones deliberadamente emprendidas por un adulto con el objetivo de ganarse la amistad de un menor de edad, creando una conexión emocional con el mismo, con el fin de disminuir las inhibiciones del infante y poder abusar sexualmente de él. Sexting (contracción de sex y texting) se refiere al envío de mensajes sexuales (eróticos o pornográficos), por medio de teléfonos móviles. 5. LAS LEYES NOS PROTEGEN: LEGISLACIÓN Para hablar de seguridad en la red y los derechos que te asisten como internauta o como usuario de redes sociales debes saber que te ampara la Ley Orgánica de Protección de Datos, LOPD. Las empresas tienen la obligación que cumplir con la LOPD. Los empresarios deben cumplir con tres leyes: LOPD, LSSICE y la Ley de Propiedad Intelectual. Ley Orgánica de Protección de Datos, LOPD Ley 34/2002, de 11 de julio de Servicios de la Sociedad de Información y Comercio Electrónico, más conocida como Ley de Servicios de la Sociedad de Información (LSSI o LSSICE), es una ley aprobada en España en 2002. Ley de la Propiedad Intelectual: Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones legales vigentes sobre la materia. AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. ( La Agencia Española de Protección de Datos (AEPD), creada en 1993, es el organismo público encargado de velar por el cumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal en España. Tiene su sede en Madrid y su ámbito de actuación se extiende al conjunto de España. Es la autoridad pública independiente encargada de velar por la privacidad y la protección de datos de los ciudadanos. El objetivo de este espacio es, por un lado, fomentar que los ciudadanos conozcan sus derechos y las posibilidades que la Agencia les ofrece para ejercerlos y, por otro, que los sujetos obligados tengan a su disposición un instrumento ágil que les facilite el cumplimiento de la normativa. (su web: https://www.agpd.es) Es un ente de derecho público con personalidad jurídica propia y plena capacidad pública y privada que actúa con independencia de la Administración pública en el ejercicio de sus funciones. Su principal misión es velar por el cumplimiento de la legislación de protección de datos por parte de los responsables de los ficheros (entidades públicas, empresas privadas, asociaciones, etc.) y controlar su aplicación a fin de garantizar el derecho fundamental a la protección de datos personales de los ciudadanos. La AEPD lleva a cabo sus potestades de investigación fundamentalmente a instancias de los ciudadanos, aunque también está facultada para actuar de oficio. La Agencia es estatutaria y jerárquicamente independiente y se relaciona con el Gobierno a través del Ministerio de Justicia. En España, además, existen agencias de protección de datos de carácter autonómico en Cataluña3 y en el País Vasco,4 con un ámbito de actuación limitado a los ficheros de titularidad pública declarados por las Administraciones autonómicas y locales de sus respectivas comunidades autónomas. 17 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA 5. DIRECCIONES WEB SOBRE SEGURIDAD INFORMATICA: INCIBE: Instituto Ciberseguridad Español https://www.incibe.es/ Oficina de Seguridad del Internauta |: https://www.osi.es/ https://www.incibe.es/protege-tu-empresa/blog Agencia de la Unión Europea para la seguridad de la información https://www.enisa.europa.eu/ http://www.cert.org/ La División CERT es una organización dedicada a garantizar que la tecnología apropiada y las prácticas de gestión de sistemas se utilizan para resistir los ataques a los sistemas en red y para limitar los daños y garantizar la continuidad de los servicios críticos a pesar de los ataques, accidentes o fracasos. www.pantallasamigas.net http://seguridad-redes-sociales.blogspot.com.es/ ANEXO I. PROTOCOLOS SEGUROS Hypertext Transfer Protocol (HTTPS) El Protocolo seguro de transferencia de hipertexto, más conocido por sus siglas HTTPS, es un protocolo de aplicación basado en el protocolo HTTP, destinado a la transferencia segura de datos de Hipertexto, es decir, es la versión segura de HTTP. El puerto estándar para este protocolo es el 443. El sistema HTTPS utiliza un cifrado basado en SSL/TLS para crear un canal cifrado (cuyo nivel de cifrado depende del servidor remoto y del navegador utilizado por el cliente) más apropiado para el tráfico de información sensible que el protocolo HTTP. De este modo se consigue que la información sensible (usuario y claves de paso normalmente) no pueda ser usada por un atacante que haya conseguido interceptar la transferencia de datos de la conexión, ya que lo único que obtendrá será un flujo de datos cifrados que le resultará imposible de descifrar. Generic Routing Encapsulation (GRE 47) Es el protocolo de Encapsulación de Enrutamiento Genérico. Se emplea en combinación con otros protocolos de túnel para crear redes virtuales privadas. El GRE está documentado en el RFC 1701 y el RFC 1702. Fue diseñado para proporcionar mecanismos de propósito general, ligeros y simples, para encapsular datos sobre redes IP. El GRE es un protocolo cliente de IP que usa el protocolo IP 47. Este protocolo es normalmente usado con VPN de Microsoft entre servidores con acceso remoto (RRAS) configurados para el enrutamiento entre redes de área local. Esquema: GRE se encarga del encapsulamiento de los datos para enviarlos por un túnel, pero él no crea no los túneles, de eso de encarga el protocolo PPTP u otro que estemos empleando. El proceso de encapsulamiento tienen los siguientes pasos: El paquete IP con los datos se transmite desde el Ecliente al servidor E-RRAS. Se le añade la cabecera del PPP y se cifra todo junto obteniendo un ‘fragmento PPP’. Los datos cifrados se colocan dentro de un paquete GRE con su correspondiente cabecera. Se envía el paquete GRE del servidor E-RRAS al servidor R-RRAS a través de Internet. Este envía se realiza por una conexión VPN creada anteriormente. El servidor R-RRAS elimina el encabezados GRE, descifra, elimina el encabezado PPP y transmite los datos (paquete IP) a el Rcliente. 18 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA Los datos cifrados se colocan dentro de un paquete GRE con su correspondiente cabecera. Esquema: Formato de un paquete GRE Point-to-Point Tunneling Protocol El Protocolo de Túnel Punto a Punto (PPTP) encapsula los paquetes (frames) del Protocolo Punto a Punto (Point-toPoint Protocol, PPP) con datagramas IP para transmitirlos por una red IP como Internet o una intranet privada. El PPTP utiliza una conexión TCP conocida como la conexión de control de PPTP para crear, mantener y terminar el túnel, y una versión modificada de GRE, para encapsular los paquetes (frames) PPP como datos para el túnel. Las cargas de los paquetes encapsulados pueden estar encriptadas o comprimidas o ambas cosas. El PPTP supone la disponibilidad de una red IP entre un cliente PPTP (un cliente de túnel que utiliza el protocolo PPTP) y un servidor PPTP (un servidor de túnel que utiliza el protocolo PPTP). El cliente PPTP podría estar ya conectado a una red IP por la que puede tener acceso al servidor PPTP, o podría tener que llamar telefónicamente a un servidor de acceso de red (Network Access Server, NAS) para establecer la conectividad IP como en el caso de los usuarios de accesos telefónicos para Internet. La autentificación que ocurre durante la creación de una conexión VPN con PPTP utiliza los mismos mecanismos de autentificación que las conexiones PPP, tales como el Protocolo de Autentificación Extendible (Extensible Authentication Protocol, EAP), el Protocolo de Autentificación con Reto/Negociación de Microsoft (Microsoft Challenge-Handshake Authentication Protocol, MS-CHAP), el CHAP, el Protocolo de Autentificación de Claves Shiva (Shiva Password Authentication Protocol, SPAP) y el Protocolo de Autentificación de Claves (Password Authentication Protocol, PAP). El PPTP hereda la encriptación, la compresión o ambas de las cargas PPP del PPP. Para servidores PPTP sobre Internet, el servidor PPTP es un servidor VPN con PPTP con una interfase con Internet y una segunda interfase con la intranet. IP Sec IP Sec es un grupo de extesiones de la familia del protocolo IP pensado para proveer servicios de seguridad a nivel de red, de un modo transparente a las aplicaciones superiores. IP Sec está ya explicado en su trabajo correspondiente: I Pv 6 e IP Sec Protocolo de tunelado de nivel 2 (L2TP) Es un componente de creación importante para las VPN de acceso. Es una extensión del protocolo Punto a Punto, fundamental para la creación de VPNs. L2TP combina las mejores funciones de los otros dos protocolos tunneling. Layer 2 Forwarding (L2F) de Cisco Systems y Point-to-Point Tunneling (PPTP) de Microsoft. L2TP es un estándar emergente, que se encuentra actualmente en codesarrollo y que cuenta con el respaldo de Cisco Systems, Microsoft, Ascend, 3Com y otros líderes en la industria de la conectividad. A continuación una serie de términos relacionados con este protocolo: L2TP Access Concentrator (LAC): Se añade un dispositivo LAC a los componentes físicos de la red conmutada; como la red telefónica convencional o RDSI, o se coloca con un sistema de terminación PPP capaz de gestionar el protocolo L2TP. Un LAC sólo necesita implementar el medio sobre el cual opera el L2TP para admitir el tráfico de una o más LNS. Puede “tunelizar” cualquier protocolo que incluya el PPP. LAC es el iniciador de las llamadas entrantes y el receptor de las llamadas salientes. L2TP Network Server (LNS): Un LNS opera sobre cualquier plataforma con capacidad de terminación PPP. LNS gestiona el lado del servidor del protocolo L2TP. Ya que L2TP se apoya sobre el medio al que llegan los túneles L2TP, LNS sólo puede tener un único interfaz LAN o WAN, aunque es capaz de terminar las llamadas entrantes en cualquiera de la amplia gama de los interfaces PPP LAC (asíncronos, RDSI, PPP sobre ATM, PPP sobre Frame Relay). Network Access Server (Servidor de acceso a la red): NAS es un dispositivo que proporciona a los usuarios acceso temporal a la red bajo demanda. Este acceso es punto a punto, de uso típico en líneas de la red telefónica convencional o RDSI. En la implementación Cisco, un NAS sirve como LAC. Secure shell (SSH) Tradicionalmente en sistemas Unix en el momento de entrar en el sistema, tanto el login como el password, así como el resto de la sesión, se transmiten a través de nuestra LAN o incluso a través de routers y nodos ajenos al 19 TIC 2 TEMA 4. SEGURIDAD INFORMÁTICA nuestro en texto claro. Esto quiere decir que cualquiera que tenga activado un sniffer puede capturar nuestras sesiones con el potencial peligro que ello conlleva. La manera de evitar que alguien pueda espiar nuestras claves y sesiones, es utilizar una herramienta muy potente, fácil de instalar y muy cómoda para el usuario ssh/sshd actúan basándose en la arquitectura cliente/servidor , en este caso concreto sshd se ejecuta en el servidor en un puerto (el defecto es el 22) a la espera de que alguien utilizando un cliente ssh se conecte para ofrecerle una sesión segura encriptándola de extremo a extremo.Todo es como en una sesión telnet tradicional, pero con la particularidad de que todas las comunicaciones serán encriptadas. El manejo de cualquier programa cliente de SSH es muy sencillo. Básicamente hay que introducir el servidor al que te quieres conectar (por ejemplo fanelli.sindominio.net) y que algoritmo de encriptación quieres usar (por ejemplo 3DES). Si no se dispone de un programa cliente de SSH, puede bajarse de Internet. Transport Layer Security (TLS; en español «seguridad de la capa de transporte») y su antecesor Secure Sockets Layer (SSL; en español «capa de puertos seguros») son protocolos criptográficos que proporcionan comunicaciones seguras por una red, comúnmente Internet.1 Se usan certificados X.509 y por lo tanto criptografía asimétrica para autentificar a la contraparte con quien se están comunicando2 , y para intercambiar una llave simétrica. Esta sesión es luego usada para cifrar el flujo de datos entre las partes. Esto permite la confidencialidad del dato/mensaje, y códigos de autenticación de mensajes para integridad y como un producto lateral, autenticación del mensaje.Varias versiones del protocolo están en aplicaciones ampliamente utilizadas como navegación web, correo electrónico, fax por Internet, mensajería instantánea, y voz-sobre-IP (VoIP). Una propiedad importante en este contexto es forward secrecy, para que la clave de corta vida de la sesión no pueda ser descubierta a partir de la clave asimétrica de largo plazo 20
