Criptografía

El tiempo es el mejor autor: siempre encuentra un final perfecto Charles Chaplin
Criptografa
Rama inicial de las Matemticas y en la actualidad tambin de la Informtica y la Telemtica,
que hace uso de mtodos y tcnicas con el objeto principal de cifrar, y por tanto proteger,
un mensaje o archivo por medio de un algoritmo, usando una o ms claves.
Jorge Rami Aguirre, Libro Electrnico de Seguridad Informtica y Criptografa Versin 4.1.
Sexta edicin de 1 de Marzo de 2006, Madrid (Espaa). (pg. 39)
Seguridad informtica
Un conjunto de mtodos y herramientas destinados a proteger la informacin y por ende los
sistemas informticos ante cualquier amenaza, un proceso en el cual participan adems
personas. Concienciarlas de su importancia en el proceso ser algo crtico.
Unas cuantas definiciones previas
-Criptologa: ciencia que estudia e investiga todo aquello relacionado con la criptografa:
incluye cifra y criptoanlisis.
-Criptgrafo: mquina o artilugio para cifrar.
-Criptlogo: persona que trabaja de forma legtima para proteger la informacin creando
algoritmos criptogrficos.
-Criptoanalista: persona cuya funcin es romper algoritmos de cifra en busca de debilidades,
la clave o del texto en claro.
-Texto en claro: documento original. Se denotar como M.
-Criptograma: documento/texto cifrado. Se denotar como C.
-Claves: datos (llaves) privados/pblicos que permiten cifrar un documento y descifrar el
correspondiente criptograma.
Principios de la seguridad informtica
Los tres principios bsicos de la seguridad informtica:
El del acceso ms fcil
El de la caducidad del secreto
El de la eficiencia de las medidas tomadas.

1er principio de la seguridad informtica
Cules son los puntos dbiles de un sistema informtico?
El intruso al sistema utilizar el artilugio que haga ms fcil su acceso y posterior ataque.
Existir una diversidad de frentes desde los que puede producirse un ataque, tanto internos
como externos. Esto dificultar el anlisis de riesgo ya que el delincuente aplicar la filosofa
del ataque hacia el punto ms dbil: el equipo o las personas.
2 principio de la seguridad informtica
Cunto tiempo deber protegerse un dato?
Los datos confidenciales deben protegerse slo hasta que ese secreto pierda su valor como
tal.
Se habla, por tanto, de la caducidad del sistema de proteccin: tiempo en el que debe
mantenerse la confidencialidad o secreto del dato.
Esto nos llevar a la fortaleza del sistema de cifra.
3er principio de la seguridad informtica
Las medidas de control se implementan para que tengan un comportamiento efectivo,
eficiente, sean fciles de usar y apropiadas al medio.
Efectivo: que funcionen en el momento oportuno.
Eficiente: que optimicen los recursos del sistema.
Apropiadas: que pasen desapercibidas para el usuario.
Y lo ms importante: ningn sistema de control resulta efectivo hasta que debemos
utilizarlo al surgir la necesidad de aplicarlo. Junto con la concienciacin de los usuarios,
ste ser uno de los grandes problemas de la Gestin de la Seguridad Informtica.
Data Encryption Standard DES
DES (Data Encryption Standard) ha sido el estndar utilizado mundialmente durante 25
aos, generalmente en la banca. Hoy presenta signos de envejecimiento y ha sucumbido a
los diversos criptoanlisis que contra l se viene realizando hace ya aos.
Objetivos de la criptografa
Los objetivos de la criptografa son:
Transmitir mensajes que no puedan ser interpretados por un receptor no autorizado.
Que agentes autorizados si puedan interpretar el mensaje transmitido.
Que las operaciones de codificacin y decodificacin no sean costosas, en trminos
computacionales.
Que un intento de anlisis ser demasiado complejo para ser factible.
Tesis Sistema de Encripcin de Datos Empleando Verificacin Compartida para Redes de
rea Local, M.C. JAVIER MENESES RUIZ, ABRIL DE 2006(pg. 2)
Caractersticas de un criptosistema
La solucin a los problemas de seguridad inherentes a un sistema de informacin, define
cuatro caractersticas o metas para el diseo de un criptosistema, siendo estas:
Confidencialidad.
Autentificacin.
No repudiacin.
Integridad.
La confidencialidad, segura que la informacin slo sea accesible para entidades
autorizadas. Esta caracterstica est expuesta a un ataque de seguridad clasificado como
intromisin pasiva o intercepcin, en donde alguien, sin interferir o alterar un mensaje
que no est dirigido a l, logra captarlo y enterarse de su contenido. Esto se logra en
mensajes de radio de manera muy simple, o en telefona, por ejemplo, interviniendo una
lnea.
Otra caracterstica de un criptosistema es la autentificacin, la cual asegura que el origen
de la informacin slo sea accesible para entidades autorizadas. Esta caracterstica est
expuesta a un ataque clasificado como intromisin activa de tipo insercin o fabricacin
en la cual una entidad no autorizada inserta informacin en el sistema.
La tercera caracterstica de la criptografa es la integridad, la cual asegura que slo
entidades autorizadas tienen acceso a la modificacin de la informacin transmitida. Esta
caracterstica est expuesta a un ataque clasificado como intromisin activa de tipo
modificacin en la cual una entidad no autorizada no slo tiene acceso a la informacin
sino que lleva a cabo una alteracin de la misma.
La cuarta y ltima caracterstica de la criptografa es la no repudiacin, la cual asegura
que ni el receptor ni el transmisor puedan negar que se efectu una transmisin.
rea Local, M.C. JAVIER MENESES RUIZ, ABRIL DE 2006(pg. 2, pg. 3)

Aplicaciones de la criptografa
La criptografa se encuentra en una gran variedad de aplicaciones como lo son:
Diplomacia
Guerra
Correo electrnico
Redes de computadoras
Transferencias electrnicas bancarias
Seguridad en Internet: IPSec, SSL (Security Socket Layer, por sus siglas en ingls)
Comercio electrnico
Acceso remoto
Telefona
Tesis Sistema de Encripcin de Datos Empleando Verificacin Compartida para Redes de rea Local,
M.C. JAVIER MENESES RUIZ, ABRIL DE 2006(pg. 4)

Criptografa de llave pblica

El concepto de criptografa de llave pblica evolucion de un intento de atacar los dos
problemas ms difciles asociados con el cifrado convencional. El primer problema es el de
distribucin de llaves. La distribucin de llaves mediante cifrado convencional requiere que
dos entidades: a) compartan ya en ese momento una llave, o b) hagan uso de un centro de
distribucin. Whitfield Diffie, uno de los descubridores del cifrado de llave pblica (junto
con Martin Hellman, ambos en la Universidad de Stanford), llegaron a la conclusin de que
este segundo requerimiento negaba la esencia misma de la criptografa: la habilidad de
mantener en secreto total la misma comunicacin.


Criptosistema de llave pblica
Los algoritmos de llave pblica se basan en una llave para cifrado y en una llave diferente para
descifrado. Estos algoritmos poseen una caracterstica muy importante:
No es computacionalmente factible determinar la llave de descifrado dado slo el conocimiento del
algoritmo criptogrfico y la llave de cifrado. Adems, algunos algoritmos, como el RSA (Algoritmo
de criptografa pblica de uso comn), exhiben tambin que:
Cualquiera de las dos llaves relacionadas pueden ser utilizadas para cifrado, con la otra
siendo empleada para descifrado.
La figura 1-3 ilustra de una manera sencilla el proceso de cifrado de llave pblica.
Esencialmente, los pasos son:
1. Cada usuario final en una red genera un par de llaves.
2. Cada usuario publica su llave de cifrado colocndola en un registro o archivo pblico. sta
es la llave pblica; la llave complementaria se mantiene privada.
3. Si A desea mandar un mensaje a B, cifra el mensaje empleando la llave pblica de B.
4. Cuando B recibe el mensaje, ste descifra el mensaje empleando su llave privada.
Ntese que slo B puede llevar a cabo el proceso de descifrado.

rea Local, M.C. JAVIER MENESES RUIZ, ABRIL DE 2006(pg. 6, pg. 7)
Aplicaciones de criptosistemas de llave pblica

Se puede clasificar el uso de criptosistemas de llave pblica en tres categoras:
Cifrado/Descifrado: El transmisor cifra el mensaje con la llave pblica del receptor.
Firma Digital: El transmisor firma un mensaje con su llave privada. Esto se logra al aplicar un
algoritmo criptogrfico al mensaje o a un pequeo bloque de datos, funcin del mensaje.
Intercambio de llaves: Dos entidades cooperan para intercambiar una sesin de llaves.
SERVICIOS DE SEGURIDAD
Toda organizacin, el administrador responsable de la seguridad en especfico, necesita definir los
requerimientos de seguridad y las caractersticas de los productos y servicios que satisfagan esos
requerimientos de seguridad.
En la seguridad de la informacin se consideran tres aspectos fundamentales:
Ataques de seguridad: Una accin que comprometa la seguridad de la informacin propiedad de
una organizacin.
Mecanismos de seguridad: Un mecanismo de seguridad es diseado para detectar, prevenir o
recobrarse de un ataque de seguridad.
Servicios de seguridad: Los servicios de seguridad son el uso y administracin de uno o ms
mecanismos de seguridad para proveer el servicio.
Tesis Herramienta criptogrfica RAD para el desarrollo de sistemas multiusuarios, MANUEL
ALFREDO ARIAS MARTNEZ, ENERO DE 2006(Pg. 19)

FORMAS COMUNES DE OCULTAR INFORMACIN EN ARCHIVOS
Los sistemas ms utilizados actualmente son de contrasea, con diferentes variantes, se
aplican a casi todos los aspectos de la seguridad de la informacin.
Con base en entrevistas con programadores realizadas a travs de Internet y experiencias
vividas como programador, puedo mencionar que existen tres formas en general de
guardar la informacin en un archivo, en el cual, los programas de interfaz controlan el
acceso de usuarios a travs de contraseas o passwords:
1.- Ocultamiento del archivo: al instalarse el sistema, todos sus archivos se alojan en un
lugar definido del medio de almacenamiento, excepto el archivo que contiene las claves de
acceso o passwords. Este archivo se trata de ocultar con una extensin diferente a la del
formato utilizado en bases de datos y en otro directorio que sea seguro en el medio de
almacenamiento utilizado. Las formas ms comunes de ocultar el archivo de contraseas
son: cambiando las propiedades del mismo (oculto, solo lectura), dndole un nombre y
extensin tradicional del sistema operativo que se est utilizando, cambiando el nombre y
extensin iguales a un archivo de programa conocido, instalado en la computadora.
2.- Archivo con apertura de contrasea: en este caso, el archivo que contiene las
contraseas, se encripta, pero la encriptacin solamente se realiza en la clave de acceso al
propio archivo, dndole as, un formato nico a ste. La informacin que contiene el archivo
permanece intacta, no experimenta encriptacin alguna. La desventaja es que si una
aplicacin desea utilizar este archivo, necesitar entender tambin el formato del mismo,
motivo por el cual no es muy popular para el desarrollo de sistemas, pues dificulta su
migracin y mantenimiento.
3.- Archivo con la informacin encriptada: esta forma de seguridad de informacin guardada
en un archivo es la ms utilizada en la actualidad, pues elude la posibilidad de poder conocer
las contraseas, aun sabiendo la ubicacin fsica del archivo en el medio de almacenamiento.
Para dar ms seguridad a la informacin, es recomendable utilizar una combinacin de estos
tres mtodos.
Tesis Herramienta criptogrfica RAD para el desarrollo de sistemas multiusuarios, MANUEL
ALFREDO ARIAS MARTNEZ, ENERO DE 2006(Pg. 23, Pg. 24)
Acciones Hostiles
Los sistemas de TI son vulnerables a una serie de amenazas que pueden ocasionar daos que
resulten en prdidas significativas. Los daos pueden ser de diversos tipos, como alterar la
integridad de la Base de Datos o un incendio que destruya todo el centro de cmputo, por
otro lado las prdidas pueden ser consecuencia de acciones de empleados supuestamente
confiables o de hackers externos, la precisin para calcular las prdidas no siempre es
posible, algunas de ellas nunca son descubiertas y otras son barridas bajo la alfombra a fin
de evitar publicidad desfavorable para la organizacin, los efectos de las amenazas varan
desde afectar la confidencialidad e integridad de los datos hasta afectar la disponibilidad del
sistema. Algunas de las amenazas ya han sido vistas en rubros anteriores, ahora trataremos
las siguientes:
Robo y Fraude
Espionaje
Sabotaje
Hackers y cdigo maliciosos
Robo y Fraude
Los sistemas de TI pueden ser usados para estas acciones de manera tradicional o usando
nuevos mtodos, por ejemplo, un individuo puede usar el computador para sustraer
pequeos montos de dinero de un gran nmero de cuentas financieras bajo la suposicin de
que pequeas diferencias de saldo no sern investigadas, los sistemas financieros no son los
nicos que estn bajo riesgo, tambin lo estn los sistemas que controlan el acceso a
recursos de diversos tipos, como: sistemas de inventario, sistemas de calificaciones, de
control de llamadas telefnicas, etc.
Los robos y fraudes usando sistemas de TI pueden ser cometidos por personas internas o
externas a las organizaciones, estadsticamente los responsables de la mayora de los
fraudes son personas internas a la organizacin.
Adicionalmente al uso de TI para cometer fraudes y robos, el hardware y el software del
computador tambin son vulnerables al robo, de la misma forma que lo son las piezas de
stock y el dinero, tambin es necesario ser consciente de que para hablar de robo no es
necesario que una computadora o una parte de ella sea sustrada, es frecuente que los
operadores utilicen la computadora de la empresa para realizar trabajos privados o para
otras organizaciones y, de esta manera, robar tiempo de mquina, la informacin tambin es
susceptible de ser sustrada pues puede ser fcilmente copiada, al igual que el software, del
mismo modo las cintas y/o discos pueden ser copiados sin dejar rastro.
Cada ao millones de dlares son sustrados de empresas y en muchas ocasiones, las
computadoras han sido utilizadas como instrumento para dichos fines, ya sea para
transferencias ilcitas de dinero, alteracin de saldos de cuentas, eliminacin de registros de
deuda, u otras actividades similares, sin embargo, debido a que las partes implicadas
(compaa, empleados, fabricantes, auditores, etc.), en lugar de ganar, tienen ms que
perder, ya sea en imagen o prestigio, no se da publicidad a este tipo de situaciones.
Sabotaje
Una gran parte de las empresas que han intentado implementar programas de seguridad de
alto nivel, han encontrado que la proteccin contra esta amenaza es uno de los retos ms
duros, el saboteador puede ser un empleado o un sujeto ajeno a la empresa y sus motivos
pueden ser de lo ms variados.
Al estar ms familiarizados con las aplicaciones, los empleados saben que acciones causaran
ms dao, por otra parte el downsizing ha generado grupos de personas con conocimientos
sobre diversas organizaciones y con conocimiento de acceso a sus sistemas. Entre las
acciones de sabotaje ms comunes tenemos:
Destruccin de hardware
Bombas lgicas para destruccin de programas y/o datos
Ingreso errneo de datos
Exposicin de medios magnticos de almacenamiento de informacin a imanes
Introduccin de suciedad, partculas de metal o gasolina por los conductos de aire
acondicionado.
Corte de las lneas de comunicaciones y/o elctricas
Espionaje
Se refiere a la accin de recolectar informacin propiedad de una compaa para ayudar a
otra compaa. Desde que la informacin es procesada y almacenada en computadoras, la
seguridad informtica puede ayudar a proteger este recurso, sin embargo es muy poco lo
que puede hacer para evitar que un empleado con autorizacin de acceso a informacin
pueda entregarla o venderla.
Hackers y Cdigo Maliciosos
El trmino hacker, se refiere a los atacantes que se introducen en un sistema sin autorizacin
y pueden ser internos o externos a la organizacin, existen diferencias entre estos atacantes,
el hacker tiene por finalidad introducirse en el sistema y hacer notar que lo logr, el que
adems de introducirse sin autorizacin destruye sistemas e informacin es el cracker, y
los que hacen uso de sus conocimientos de hardware, software y telefona para no pagar las
llamadas que hacen son los phreakers El cdigo malicioso se refiere a los virus, worms,
caballos de Troya, bombas lgicas y otros ejemplos de software no deseado que son
introducidos en los sistemas, detallaremos a continuacin la definicin de algunos de estos
Trminos:
Virus: Segmento de cdigo que se replica adjuntando copias de s mismo a los ejecutable
existentes, la nueva copia del virus se ejecuta cuando un usuario ejecuta el programa host, o
cuando ciertas condiciones, especificadas como parte del virus, se presentan.
Caballo de troya (Trojan Horse): Es un programa que ejecuta una tarea deseada, pero que
adicionalmente realiza funciones inesperadas e indeseadas.
Worm: Es un programa que se autoreplica y no requiere un ejecutable que le sirva de host,
el programa crea una copia de s mismo y la ejecuta sin intervencin del usuario, los worms
comnmente usan los servicios de red para propagarse.

Seguridad Fsica
Se argumenta que la seguridad perfecta slo existe en una habitacin sin puertas, pero eso
naturalmente no es posible, en la actualidad el objetivo es prevenir, detectar y detener las
rupturas de seguridad informtica y de las organizaciones. ISO 17799 ofrece un marco para
la definicin de la seguridad informtica en la organizacin y ofrece mecanismos para
administrar el proceso de seguridad.
Controles de Seguridad Fsica y de entorno. ISO 17799
Este estndar proporciona a las organizaciones los siguientes beneficios, entre
Otros:
Una metodologa estructurada reconocida internacionalmente.
Un proceso definido para evaluar, implementar, mantener y administrar
seguridad informtica.
Una certificacin que permite a una organizacin demostrar su status en seguridad.
ISO 17799 contiene 10 controles de seguridad, los cuales se usan como base para la
evaluacin de riesgos, entre los 10 controles mencionados se encuentran aquellos
orientados a garantizar la Seguridad Fsica y del entorno.
Los controles de Seguridad Fsica manejan los riesgos inherentes a las instalaciones de las
empresas, e incluyen:
Ubicacin.- Se deben analizar las instalaciones de la organizacin, considerando la
posibilidad de un desastre natural.
Seguridad del permetro fsico.- El permetro de seguridad de las instalaciones debe estar
claramente definido y fsicamente en buen estado, las instalaciones pueden dividirse en
zonas, basndose en niveles de clasificacin u otros requerimientos de la organizacin.
Control de Accesos Las aperturas en el permetro de seguridad de las instalaciones
deben contar con controles de ingreso/salida proporcionales con el nivel de clasificacin
de la zona a la que afecta.
Equipamiento Los equipos deben estar situados en una zona de las instalaciones que
asegure, fsicamente y en su entorno, su integridad y disponibilidad.
Transporte de bienes Mecanismos para el ingreso o salida de bienes a travs del
permetro de seguridad.
Generales Polticas y estndares, como la utilizacin de equipos de destruccin de
documentos, almacenamiento seguro y regla de escritorio limpio, deben existir para
administrar la seguridad operacional en el espacio de trabajo.
Tesis Seguridad en el comercio electrnico. MATTOS LESCANO, ELISA ZORAIDA, 2003
Delitos Informticos
El delito informtico puede comprender tanto aquellas conductas que valindose de medios
informticos lesionan intereses protegidos como la intimidad, el patrimonio econmico, la fe
pblica, la seguridad, etc., como aquellas que recaen sobre herramientas informticas
propiamente dichas tales como programas, computadoras, etc.
Hacker
"Un Hacker es una persona dedicada a su arte, alguien que sigue el conocimiento hacia donde
este se dirija, alguien que se apega a la tecnologa para explorarla, observarla, analizarla y
modificar su funcionamiento, es alguien que es capaz de hacer algo raro con cualquier aparato
electrnico y lo hace actuar distinto, alguien que no tiene lmites para la imaginacin y busca
informacin para despus compartirla, es alguien al que no le interesa el dinero con lo que hace,
solo le importa las bellezas que pueda crear con su cerebro, devorando todo lo que le produzca
satisfaccin y estimulacin mental... Un hacker es aquel que piensa distinto y hace de ese
pensamiento una realidad con diversos mtodos. Es aquel que le interesa lo nuevo y que quiere
aprender a fondo lo que le interesa."
El Hacking se considera una ofensa o ataque al Derecho de gentes, y no tanto un delito contra
un Estado concreto, sino ms bien contra la humanidad. El delito puede ser castigado por los
tribunales de cualquier pas en el que el agresor se halle. La esencia del Hacking consiste en que
el pirata no tiene permiso de ningn Estado soberano o de un Gobierno en hostilidades con otro.
Los HACKERS son considerados delincuentes comunes en toda la humanidad, dado que todas las
naciones tienen igual inters en su captura y castigo.(Carlos Ivn Paredes Flores. Hacking)
tica Hackers
Son profesionales que poseen una gran coleccin de habilidades y completamente
merecedores de confianza .Durante una evaluacin, el Ethical Hacker maneja las riendas o
llaves de la compaa, y por tanto esta persona debe ser absolutamente profesional y tica ya
que manejara informacin latamente sensible. La sensibilidad de la informacin manejada
durante la evaluacin exige que sean tomadas fuertes medidas de seguridad para el manejo de
la misma: laboratorios de acceso restringido con medidas de seguridad fsica, conexiones
mltiples de acceso a Internet, caja fuerte para sustentar la documentacin en papel de los
clientes, criptografa reforzada que proteja los resultados electrnicos, redes aisladas para el
proceso de experimentacin.( Joomla 1.5 Template, web hosting. Valid XHTML and CSS. TICS -
Tecnologas de la Informacin y las Comunicaciones).
Lamer
Un Lamer es simple y sencillamente un tonto de la informtica, una persona que se siente
Hacker por haber bajado de Internet el Net bus, alguien a quien le guste bajar virus de la red e
instalarlos en la PC de sus amigos, aunque ms bien podra decrsele como un Cracker de psima
calidad; en general alguien que cree que tiene muchos conocimientos de informtica y
programacin, pero no tiene ni la ms mnima idea de ello. (Carlos Ivn Paredes Flores.
Hacking)
Phreacker
El phreaker es una persona que con amplios conocimientos de telefona puede llegar a realizar
actividades no autorizadas con los telfonos, por lo general celulares. Construyen equipos
electrnicos artesanales que pueden interceptar y hasta ejecutar llamadas de aparatos
telefnicos celulares sin que el titular se percate de ello. En Internet se distribuyen planos con las
instrucciones y nomenclaturas de los componentes para construir diversos modelos de estos
aparatos. (Carlos Ivn Paredes Flores. Hacking)
Seguridad Informtica
Medidas preventivas y reactivas del hombre, de las organizaciones y de los sistemas
tecnolgicos que permitan resguardar y proteger la informacin buscando mantener la
confidencialidad, la disponibilidad e Integridad de la misma. La informacin es un recurso de
valor estratgico para las empresas y como tal debe ser debidamente protegida.
Las polticas de seguridad de la informacin protegen de una amplia gama de amenazas, a fin de
garantizar la continuidad de los sistemas de informacin, minimizar los riesgos de dao y
asegurar el eficiente cumplimiento de los objetivos. Es importante que los principios de la
poltica de seguridad sean parte de la cultura organizacional. Para esto, se debe asegurar un
compromiso manifiesto de las mximas autoridades de la compaa para la difusin y
consolidacin de las polticas de seguridad.(Zacaras Leone. Delitos Informticos) Recuperado
de
Tesis Investigacin y elaboracin de un instructivo sobre las herramientas hacker ms
utilizadas en el mbito informtico, DIANA LUCIA MNDEZ VILA, Noviembre 2011(pg.
28, pg. 29 pg. 30 pg. 31, pg. 32 pg. 33)

ESPIONAJE CORPORATIVO
IDEA FUNDAMENTAL DEL CAPTULO
Se seala el panorama del espionaje corporativo, su definicin, elementos que se protegen y
cmo debido a este problema, la ONU ha elaborado una clasificacin de los embates a las
organizaciones que a nivel mundial las afectan, debido a la crisis causada por falta de leyes y
por consecuencia producen prdidas econmicas a las empresas.
Este captulo aborda lo que es el espionaje corporativo, se har una revisin de la
perspectiva del mismo, se mencionarn algunos de los elementos que se deben proteger
cuando se usan computadoras de punto final, y un enfoque de seguridad de la informacin
Panorama actual del espionaje informtico corporativo
Existe un problema que ha surgido desde que se da el manejo de informacin, nos referimos
al espionaje corporativo, por lo que ste no es en absoluto un peligro reciente. En la
actualidad se estima que el 70 por ciento del valor medio de una corporacin reside en la
informacin que posee una organizacin por lo que tiene un valor muy delicado.
Muchas de las corporaciones con ms xito actualmente, han sufrido incidentes de
espionaje corporativo y el nmero de estos casos aumenta constantemente. En 2001, las
compaas del Ranking Fortune 1000 reportaron un total de 45 billones de dlares en
prdidas debidas al espionaje corporativo8. En la actualidad se observa que en las
tecnologas de Internet, algunos usuarios propician el cultivo de robos corporativos para el
hurto de informacin confidencial o protegida por lo que se considera conveniente que los
directores de sistemas de las empresas dediquen tiempo a proteger a la compaa,
aplicando medidas de seguridad adecuadas para su red y estableciendo normas eficaces.
La informacin ms valiosa actualmente est almacenada de forma electrnica y, dado que
las computadoras estn conectadas a redes y en lnea, o accesibles por otros medios fsicos,
el director de sistemas juega un papel fundamental en la defensa de la corporacin frente a
las actividades de espionaje y en la detencin de esas actividades cuando se descubren. A
pesar de que lo ms probable es que los incidentes de espionaje corporativo no puedan
erradicarse completamente debido a que siempre van a depender del factor humano y
puede existir la posibilidad del robo de la informacin cuando depende de ste, pero las
corporaciones pueden modificar sus estrategias de seguridad para reducir al mnimo los
incidentes y las prdidas que provocan. Antes de modificar su estrategia de seguridad,
resulta til comprender la diferencia entre los incidentes de espionaje y cmo las distintas
tecnologas hacen ms fciles estos delitos.
El espionaje corporativo presenta algunos sinnimos como son espionaje industrial, sabotaje
corporativo, espas industriales, espionaje empresarial, robos corporativos y espionaje
comercial. Segn estudios realizados en Argentina en el 2004, el 62% de las organizaciones
gastan en seguridad informtica menos del 5% del presupuesto por lo que el ataque ms
crtico fue el robo de informacin.
Para muestra de ello, tan slo en abril de 2002, Symantec (empresa Especializada en
Seguridad), afirm que tanto compaas como instituciones gubernamentales gastaban
aproximadamente nicamente 10% de su presupuesto para hacer frente a este problema en
Mxico.
Definicin de espionaje corporativo
Uno de los mayores problemas que se encuentran en la actualidad es el de descubrir a los
ejecutivos infieles que venden secretos empresariales a la competencia, con el consiguiente
perjuicio. El espionaje corporativo, es por definicin, la obtencin de informacin de un
competidor haciendo a tal fin uso de medios ilcitos segn la empresa Cybsec. (Empresa
dedicada a las Soluciones de Seguridad Informtica)
Se puede entender que el espionaje corporativo est conformado por los esfuerzos de una
compaa para robar los secretos comerciales de otra y obtener informacin sobre
ejecutivos clave de esa empresa.
Elementos que debemos proteger de los espas corporativos
El uso ptimo de la informacin puede constituir un diferenciador clave para las empresas
en el entorno empresarial actual, por lo que es fundamental protegerse de potenciales
enemigos tales como: la competencia por el posicionamiento de otras empresas, empleados,
ex empleados, usuarios del sistemas, hackers, crackers, entre otros.
La proteccin contra los espas corporativos debe enfocarse principalmente a:
Robo de informacin confidencial (obtencin de informacin privada por un tercero)
Fraude financiero (prdidas econmicas por una backdoor)
Modificacin de archivos (alteracin de informacin contenida en los archivos)
Denegacin del servicio del sistema (rechazo a la entrada de datos almacenada en
computadoras)
Destruccin de sistemas informticos (perdida de informacin intencionalmente)
Segn los resultados de las encuestas del sector gubernamental y empresarial, los datos
arrojan que las personas con acceso a informacin confidencial constituyen el mayor
peligro para la seguridad corporativa en donde el porcentaje del 71%15 de las compaas
encuestadas detectaron accesos no autorizados por parte de estos individuos.
Clasificacin de delitos informticos elaborada por la ONU (Organizacin para las Naciones
Unidas)
El delito es definido como una accin al que se le asigna una pena o sancin, partiendo de
esto, un delito informtico es un acto que viola la ley, realizado con el uso de computadoras
o medios electrnicos. Dado que la informacin fluye mediante diversos canales
electrnicos, la ONU ha elaborado una clasificacin de las agresiones que se cometen a los
diferentes registros no slo de las empresas, sino a las mltiples instituciones que a nivel
mundial pueden resultar perjudicadas si hay alguna interferencia en sus archivos.
Ante la preocupacin por la integridad de los datos, cabe informar que en el marco mundial,
y debido a la gravedad de la situacin causada por la falta de leyes que repriman los delitos
cometidos a travs de sistemas informticos, obra un informe de las Naciones Unidas que
reconoce tres categoras de estos delitos que son:
a) fraude
b) falsificacin
c) daar o alterar programas de datos
Fraude
Se entiende por fraude los delitos cometidos por manipulacin de computadoras, en los
que se distinguen: la manipulacin de datos de entrada, abarcando a la sustraccin o
apoderamiento de los mismos, y la manipulacin de programas.
Falsificacin.
Otro delito importante de tomarse en cuenta es la falsificacin, que ltimamente ha
aumentado considerablemente. Debido al panorama de amenazas cambiantes, ste ha
cobrado relevancia en todo el mundo, el documento de la ONU lo describe como conductas
de: adulteracin de la informacin contenida en forma de datos, como la alteracin de
documentos almacenados en los sistemas.
Daar o alterar programas o datos
En la actualidad existen riesgos significativos que se deben prevenir de una manera eficaz,
como es: el dao o la alteracin de sistemas y lo clasifican en distintas acciones como:
sabotaje informtico, envo de virus, gusanos, bombas lgica, accesos no autorizados,
reproduccin no autorizada de programas
Propiedades bsicas a cuidar en la informacin.
Actualmente la informacin es una palabra que se puede expresar de diferentes maneras. Se
considera como la accin y efecto de informar o enterar de algo, pero en relacin con el
procesamiento electrnico de datos, significa conjunto de datos recopilados, procesados y
presentados de tal forma que contengan un significado.
Es importante saber su significado dentro del aspecto informtico y para esto se debe
considerar que la informacin puede:
Estar almacenada y procesada en computadoras.
Ser confidencial para algunas personas, sobre todo en las organizaciones.
Ser mal utilizada o expresada.
Estar sujeta a fraudes, robo o sabotaje.
De lo anterior se concretiza que los dos primeros puntos nos indican que la informacin est
centralizada, por lo tanto, puede ser muy valiosa y tener un gran poder; mientras que los dos
ltimos puntos nos muestran que se puede provocar una destruccin parcial o total de la
informacin, as causando grandes prdidas para los usuarios.
Con base a lo anterior, es importante mencionar las propiedades bsicas de la informacin,
que hay que proteger, ya que son aspectos primordiales de este trabajo.
Propiedades de la informacin
Confidencialidad, significa que la informacin slo sea vista por quien la deba de ver y
utilizar.
Integridad, significa que la informacin que se enva por un usuario sea la misma que reciba
otro usuario.
Disponibilidad, significa que la informacin pueda usarse o utilizarse en el momento que se
necesita.
Fuente: Propiedades bsicas a cuidar en la informacin Marco Daz, Director Comercial y de
TI de Symantec.
Tesis "Una Propuesta De Seguridad En La Informacin: Caso SYSTEMATICS DE MXICO
S.A.", LIC. FERNANDO BUGARINI HERNNDEZ, NOVIEMBRE 2007(pg. 11, pg. 12, pg. 13
pg. 14 pg. 15)


POLTICAS DE SEGURIDAD
Conjunto de requisitos definidos por responsables de un sistema, que indican lo que est o
no permitido para mantener segura la informacin. Igualmente se convierten en medio para
concienciar al personal sobre la importancia de la informacin y servicios crticos que
pueden verse afectados por uso inadecuado de los sistemas.
Bsicamente, una poltica de seguridad hace la descripcin de lo que se desea proteger y el
por qu de ello, cada poltica es una invitacin a reconocer la informacin como activo
principal. Por tal razn, estas deben tener una posicin consciente y vigilante del personal en
cuanto al uso, limitaciones de los recursos y servicios informticos, para asegurar los cuatro
aspectos fundamentales de la seguridad informacin que son: disponibilidad, integridad y
confidencialidad.
Es importante que al momento de redactar polticas de seguridad se tenga en cuenta,
emplear derechos de acceso a datos y recursos con herramientas de control y mecanismos
de identificacin, ya que permiten verificar que slo se tengan los permisos asignados.
Algunas Tcnicas para asegurar el sistema, pueden ser: Codificar la informacin
(Criptografa, contraseas difciles), Vigilancia de red, Zona desmilitarizada, Tecnologas
repelentes o protectoras (cortafuegos, sistema de deteccin de intrusos - antispyware,
Antivirus), Mantener los sistemas de informacin con las ltimas actualizaciones, Sistema de
Respaldo Remoto, Servicio de BackUp remoto.
Otro punto importante que abarca las polticas de seguridad es la capacitacin a usuarios de
vulnerabilidades de servicios informticos, ya que las polticas son una forma de
comunicarse con los usuarios con recomendaciones como:
No ejecutar un programa de procedencia desconocida.
No informar telefnicamente de las caractersticas tcnicas de la red.
Nunca tirar documentacin tcnica a la basura, sino destruirla.
Verificar previamente la veracidad de la fuente que solicite cualquier informacin sobre la
red.
No proporcionar cuentas de correo electrnico y otros datos personales a personas u
entidades que puedan utilizar estos con otros fines.
Utilizar claves de acceso complejas.
Claramente las decisiones en cuanto a polticas de seguridad, determinan que tan segura
estar la informacin, y el nivel de funcionalidad que ofrecer.
INGENIERA SOCIAL
Es un conjunto de tcnicas psicolgicas y habilidades sociales que permiten que las personas
realicen voluntariamente acciones que normalmente no haran. Se vale de errores y fallas en
la seguridad informtica. Tiene tres tipos. El primero, tcnicas pasivas como lo es la
observacin; el segundo, tcnicas no presenciales como el uso del telfono, carta, fax o mail;
y el tercero, tcnicas presenciales que a su vez tiene dos tipos: las agresivas y las no
agresivas. Las agresivas son el uso de suplantacin de identidad, extorsin o presin
psicolgica. Y las no agresivas como la bsqueda en la basura (Dumpster Diving), mirar por
encima del hombro (Shoulder Sourfing), el seguimiento de personas, entre otras.
Existen herramientas y tcnicas creadas con el fin de atraer usuarios a determinadas pginas
donde se les ofrece algn producto ilcitamente, otros con el fin de llevarlos engaados a
una pgina web idntica a la de algn banco, o entidad que permita hacer pagos por
Internet, donde se solicita al usuario ingresar sus datos personales para utilizarlos de manera
ilegal.
Estas herramientas pueden ser usadas para recopilacin de informacin de sospechosos o
delincuentes.
TCNICAS DE ATAQUE
DENEGACIN DE SERVICIOS: tiene como objetivo imposibilitar el acceso a los servicios y
recursos de una organizacin durante un perodo indefinido de tiempo. Por lo general,este
tipo de ataques est dirigido a los servidores de una compaa, para que no puedan
utilizarse ni consultarse, puede afectar a cualquier servidor conectado a Internet. Su objetivo
no reside en recuperar ni alterar datos, sino en daar la reputacin de las compaas con
presencia en Internet y potencialmente impedir el desarrollo normal de sus actividades en
caso de que stas se basen en un sistema informtico.
La mayora de los ataques de denegacin de servicio aprovechan las vulnerabilidades
relacionadas con la implementacin de un protocolo TCP/IP modelo.
Generalmente, estos ataques se dividen en dos clases:
Las denegaciones de servicio por saturacin, que saturan un equipo con solicitudes para
que no pueda responder a las solicitudes reales.
Las denegaciones de servicio por explotacin de vulnerabilidades, que aprovechan una
vulnerabilidad en el sistema para volverlo inestable. Los ataques por denegacin de servicio
envan paquetes IP o datos de tamaos o formatos atpicos que saturan los equipos de
destino o los vuelven inestables y, por lo tanto, impiden el funcionamiento normal de los
servicios de red que brindan.
Cuando varios equipos activan una denegacin de servicio, el proceso se conoce como
"sistema distribuido de denegacin de servicio" (DDOS, Distributed Denial of Service).
FUERZA BRUTA: se caracteriza por una tentativa continuada de obtener acceso a un servicio
del sistema (ssh, smtp, http, etc.), intentando diversas combinaciones de nombre del usuario
y su contrasea. Para llevar a cabo este ataque, el atacante puede usar un software que
gestiona diversas combinaciones de caracteres o basarse en una lista de palabras
(diccionario).
En ambos casos, un ataque de este gnero es un vido consumidor de recursos y
potencialmente bastante peligroso, especialmente si los usuarios del sistema no tienen un
mnimo de cuidado al elegir sus contraseas.
MAN IN THE MIDDLE: es un ataque en donde se intercepta los mensajes en un intercambio
de claves pblicas y luego se retransmite, sustituyendo su propia clave pblica para el
atacante, por lo que las dos partes iniciales an parecen estar comunicndose entre s.
El ataque debe su nombre al juego de pelota donde dos personas tratan de lanzar un baln
directamente el uno al otro, mientras que una persona de entre ellos lo intenta capturar. En
un MAN IN THE MIDDLE, el intruso utiliza un programa que parece ser el servidor al cliente y
parece ser que el cliente al servidor. El ataque puede ser usado simplemente para tener
acceso al mensaje, o permitir al atacante modificar el mensaje antes de retransmitirlo.
PHARMING: consiste en manipular las direcciones DNS (Domain Name Server) que utiliza el
usuario. Los servidores DNS son los encargados de conducir a los usuarios a la pgina que
desean ver. Pero a travs de esta accin, los ladrones de datos consiguen que las pginas
visitadas no se correspondan con las autnticas, sino con otras creadas para recabar datos
confidenciales, sobre todo relacionadas con la banca online.
A travs del pharming, cuando el usuario teclea en su navegador la direccin de la pgina a
la que quiere acceder, en realidad puede ser enviado a otra creada por el hacker, que tiene
el mismo aspecto que la original. As, el internauta introducir sus datos confidenciales sin
ningn temor, sin saber que los est remitiendo a un delincuente.
El pharming puede tener algunas similitudes con las estafas de phishing que se llevan a cabo
a travs del correo electrnico, aunque las primeras resultan ms insidiosas, dado que
pueden desviar al usuario a un sitio falso sin que aqul participe o tenga conocimiento de
ello.
SPOOFING: se conoce como la creacin de tramas TCP/IP utilizando una direccin IP
falseada; la idea de este ataque es: desde su equipo, un pirata simula la identidad de otra
mquina de la red para conseguir acceso a recursos de un tercer sistema que ha establecido
algn tipo de confianza basada en el nombre o la direccin IP del host suplantado.
BOMBAS LGICAS: ataque con fines maliciosos que se ejecuta un da especifico, en una hora
especfica, etc, y que puede ejecutar modificaciones como borrado de un disco duro, entre
otras acciones.
WARDRIVING: ataque usado para crackear contraseas de redes inalmbricas. Es el mtodo
ms conocido para detectar las redes inalmbricas inseguras. Se realiza habitualmente con
un dispositivo mvil, como un ordenador porttil o un PDA. El mtodo es realmente simple:
el atacante simplemente pasea con el dispositivo mvil y en el momento en que detecta la
existencia de la red, se realiza un anlisis de la misma.
Para realizar el Wardriving se necesitan realmente pocos recursos. Los ms habituales son
un ordenador porttil con una tarjeta inalmbrica, un dispositivo GPS para ubicar el PDA en
un mapa y el software apropiado (AirSnort para Linux, BSD- AriTools para BSD o NetStumbler
para Windows).
WARCHALKING: Se trata de un lenguaje de smbolos utilizado para marcar sobre el terreno
la existencia de las redes inalmbricas, de forma que puedan ser utilizadas por aquellos que
'pasen por all'.
PHISHING: es una forma de engaar a los usuarios para que revelen informacin personal o
financiera mediante un mensaje de correo electrnico o sitio web fraudulento.
Normalmente, una estafa por suplantacin de identidad empieza con un mensaje de correo
electrnico que parece un comunicado oficial de una fuente de confianza, como un banco,
una compaa de tarjeta de crdito o un comerciante en lnea reconocido. En el mensaje de
correo electrnico, se dirige a los destinatarios a un sitio web fraudulento, donde se les pide
que proporcionen sus datos personales, como un nmero de cuenta o una contrasea.
Despus, esta informacin se usa para el robo de identidad.
TROYANOS: cdigo malicioso que se ejecuta sin que la vctima se d cuenta, permite el
acceso remoto del atacante al computador vctima, denegaciones de servicio, robo de
contraseas y usuarios, entre otras.
BUFFER OVERFLOW: Es un error de sistema causado por un defecto de programacin, de tal
forma que el programa que lo sufre pretende escribir ms informacin en el buffer (unidad
de memoria) de la que este puede alojar.
Este desbordamiento es posible porque el autor del programa no incluy el cdigo necesario
para comprobar el tamao y capacidad del buffer en relacin con el volumen de datos que
tiene que alojar.
Los problemas comienzan cuando el exceso de datos se escribe en otras posiciones de
memoria, con la perdida de los datos anteriores.
Si entre los datos perdidos por la sobre escritura se encuentran rutinas o procedimientos
necesarios para el funcionamiento del programa que se est ejecutando, el programa dar
error.
Cuando la memoria de un programa llega a sobrescribir en forma aleatoria, el programa
generalmente se colgar.
SQL INJECTION: consiste en la insercin directa de cdigo en variables especificadas por el
usuario que se concatenan con comandos SQL y se ejecutan. Existe un ataque menos directo
que inyecta cdigo daino en cadenas que estn destinadas a almacenarse en una tabla o
como metadatos. Cuando las cadenas almacenadas se concatenan posteriormente en un
comando SQL dinmico, se ejecuta el cdigo daino.
El proceso de inyeccin consiste en finalizar prematuramente una cadena de texto y anexar
un nuevo comando. Como el comando insertado puede contener cadenas adicionales que se
hayan anexado al mismo antes de su ejecucin, el atacante pone fin a la cadena inyectada
con una marca de comentario "--". El texto situado a continuacin se omite en tiempo de
ejecucin.
BLIND SQL INJECTION: ataque a ciegas de inyeccin de sentencias SQL, usado para explotar
las vulnerabilidades de una base de datos que despus de ser inyectadas se espera que
retorne un error (proceso de adivinacin).
SMURF: ataque de denegacin de servicios, que junto a spoofing busca dejar fuera de
servicio un sistema con el uso de grandes paquetes icmp.
Tesis Guas Prcticas Para Uso De Tcnicas De Ingeniera Social Con La Herramienta Set
Incluida En La Distribucin Backtrack 4 R2, CARMEN LUCIA PEDRAZA GARZN - VIVIANA
ANDREA CAVIEDES FIGUEROA, 2011(pg. 21, pg. 22, pg. 23, pg. 24, pg. 25, pg. 26, pg.
27, pg. 28, pg. 29)

BIBLIOGRAFIA
MANUAL DE CRIPTOGRAFA, Vctor Cuestas Olivos, 2005
TESIS Aplicacin de comercio electrnico para las asociaciones De artesanos de la
provincia de imbabura, DIANA MARISOL GOVEO JIJN, FEBRERO de 2012
Seguridad Informtica en la Empresa Teora y Prctica de Seguridad para Empleados y
Gerentes no Tcnicos, Fernando Durn Valenzuela, 2010
http://sistemasoperativos.angelfire.com/html/6.8.html
Pearson Educacin, S. A.- Curso de Redes Computadores 1, Tema 10 Seguridad, Prof.
Ricardo Gonzalez
Trabajo final Plan De Seguridad Informtica, Mara Dolores Cerini - Pablo Ignacio Pr,
Octubre de 2002
Tesis Desarrollo De Una Metodologa Para El Diseo De Un Pki (Public Key nfrastructure)
Y Su Aplicabilidad Para La Espe-Latacunga, VERNICA JANETH CHILIQUINGA SALAZAR,
JULIO del 2003
Tesis ANLISIS COMPARATIVO DE ALGORITMOS CRIPTOGRFICOS DE CLAVE PBLICA,
Ing. Edelia Beltrn Arreola, Enero 2012

Criptografía

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Criptografía

Uploaded by

Copyright:

Available Formats

El tiempo es el mejor autor: siempre encuentra un final perfecto Charles Chaplin

You might also like