¿Para que sistemas operativos se encuentra disponible?

EJERCICIO 9

Investigación acerca de la aplicación OpenSSL

Definición
OpenSSL es un implementación criptografica muy pontente que implementa, entre otras cosas, Secure Sockets Layer (SSL) y Transport Layer Security (TLS v1). Estos dos protocolos son lo que nos permiten navegar de manera segura y mantener nuestros datos de manera privada.

¿Qué tipo de algoritmos emplea?

 OpenSSL dispone los mejores algoritmos de encriptación simétrica y asimétrica.

 

 ¿Para que sistemas operativos se encuentra disponible?

Esta herramienta es compatible con ordenadores con sistema operativo Windows, Linux o Unix

 ¿Qué utilidades posibilita?

• Creación de claves DSA y RSA
• Creación de certificados x.509
• Calcular "hash" de ficheros
• Cifrado y descifrado de datos
• Pruebas SSL/TLS tanto Cliente como Servidor
• Sabe manejar signaturas S/MIME y correos cifrados con esta misma tecnología

Criptografia

Investiga acerca de los distintos métodos de cifrado que se emplearon en la 2ª Guerra Mundial y concretamente sobre Enigma ¿Cuál era su palabra clave?

La palabra clave dependía de la posición inicial de 3 rotores configurables en 26 posibles posciones. La persona que quiera descifrar el mensaje debe conocer la  posición inicial de esos 3 rotores o moficadores de algoritmo

Simulador:
http://www.enigmaco.de/enigma/enigma.swf



¿Qué es y para que sirve la esteganografía?

Trata el estudio y aplicación de técnicas que permiten ocultar mensajes u objetos, dentro de otros, llamados portadores, de modo que no se perciba su existencia. Es decir, procura ocultar mensajes dentro de otros objetos y de esta forma establecer un canal encubierto de comunicación, de modo que el propio acto de la comunicación pase inadvertido para observadores que tienen acceso a ese canal.


La web www.camerfirma.com, uno de los usos que tiene el certificado digital para la firma y el envío de correos electrónicos con certificado digital.

Proceso

• Entrar en la página www.camerfirma.com
• Ir a ayuda y elegir "Instala tu certificado"

• Iremos siguiendo los pasos que nos va indicando el asistente, dependiendo del Sistema Operativo que nos interese, etc

¿Qué garantiza la firma digital?

Permite comprobar el editor de un archivo y ayuda a comprobar que el archivo no haya cambiado desde que se firmó digitalmente.

Si el archivo no tiene una firma digital válida, no hay ningún modo de garantizar que en realidad provenga de quien pretende o que no haya sido alterado (posiblemente por un virus) desde que se publicó. Lo más seguro es no abrir el archivo, a menos que se sepa con certeza quién lo creó y si el contenido puede abrirse con seguridad

¿Qué es S-MIME?

S/MIME :(Secure / Multipurpose Internet Mail Extensions), Extensiones de Correo de Internet de Propósitos Múltiples / Seguro) es un estándar para criptografía de clave púbilca y firmado de correo electrónico encapsulado en MIME.

Provee de los siguientes servicios de seguridad criptográfica para aplicaciones de mensajería electrónica:

• autenticación, integridad y no repudio (mediante el uso de firma digital) y
• privacidad y seguridad de los datos (mediante el uso de cifrado)

Autoridades Certificadoras Admitidas de certificados digitales existentes en España. 

• AC Abogacía
• ANCERT – Agencia Notarial de Certificación
• ANF AC
• Autoritat de Certificació de la Comunitat Valenciana – ACCV
• Banesto CA
• AC Camerfirma
• CATCert
• CERES Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda (FNMT-RCM)
• CertiVer
• CICCP
• Colegio Oficial de Arquitectos de Sevilla
• Dirección General de la Policía y de la Guardia Civil – Cuerpo Nacional de Policía
• EADTrust
• EDICOM
• Firmaprofesional
• Gerencia de Informática de la Seguridad Social
• Healthsign
• ipsCA
• Izenpe
• Ministerio de Defensa de España
• Registradores de España
• Santander
• Servicio de Salud de Castilla-La Mancha (SESCAM)
• Telefónica Empresas

Describe el proceso para la obtención del certificado digital, para ello visita la web www.fnmt.es 

El proceso para la obtención del certificado digital es:

CERTIFICADO DE USUARIO

Para obtener el certificado es necesario que realice una serie de configuraciones en su navegador.

IMPRESCINDIBLE:

No formatear el ordenador. Se debe realizar todo el proceso de obtención desde el mismo equipo, con el mismo usuario y el mismo navegador. No realizar actualizaciones en el equipo mientras dure el proceso.

INSTALACIÓN AUTOMÁTICA

Configurador FNMT-RCM . Para instalar este software es necesario tener permisos de administrador. Al instalarlo se realizan las siguientes tareas:

• Instala todos los certificados de las CAs raíces e intermedias (Internet Explorer y Firefox).
• Instala la librería Capicom.
• Realiza modificaciones en el registro de Windows para configurar las opciones de seguridad de su navegador.

¿Es válido para todos los navegadores web? En Internet Explorer, Mozilla Firefox y Google Chrome sí

¿Es posible para firmar otro tipo de archivos?  Si

¿Es posible exportarlo o solamente se puede utilizar en un solo equipo? Se puede exportar

¿Qué precauciones podemos tener con el certificado digital en cuanto a protección mediante contraseñas en la exportación?

Tener una contraseña complicada y que no compartirla con nadie

EJERCICIO 6 TEMA 5

¿Dónde tenemos que descargar el certificado digital? 

 https://www.sede.fnmt.gob.es/certificados/persona-fisica/obtener-certificado-software/descargar-certificado

¿Dónde lo tienes que ir a recoger?

Para descargar el certificado debe usar el mismo ordenador, el mismo navegador y el mismo usuario con el que realizó la Solicitud e introducir los datos requeridos exactamente tal y como los introdujo entonces.


¿Qué caducidad posee?

4 años

Una persona que acceda a nuestro equipo en el que tenemos instalado un certificado digital, ¿puede acceder a distintos sitos web de información legal de tipo legal?

Sí, por eso es importante que siempre cerremos nuestra sesión y tengamos cuidado que no quede ningún tipo de certificado abierto.

PROTECCIÓN DE DATOS

• Explica por qué crees que surge la normativa de protección de datos en España. ¿Crees que los datos personales son empleados en ocasiones con un fin deshonesto? ¿Crees que los medios de comunicación protegen la intimidad de las personas?  

Mi opinión personal acerca de la aparición de la Ley de Protección de datos nace a raíz de que había un gran vacío legal en el tema sobre todo con menores. Con la proliferación de Internet y las redes sociales hay muchas personas expuestas y deben de ser protegidas.

Hoy en día pienso que los medios de comunicación protegen bastante la intimidad de las personas, por lo menos más que hace unos años, aunque les queda mucho que mejorar, sobre todo en temas escabrosos.

•  Busca cómo se realiza la notificación de ficheros por Internet o por soporte magnético, y explica el proceso, ¿Cuál es el medio recomendado por la AGPD para la notificación de ficheros?

 La presentación de las solicitudes de inscripción de ficheros podrá realizarse  indistintamente en soporte papel, informático o telemático, aunque en cualquiera de los casos, su cumplimentación debe realizarse a través del formulario electrónico de NO tificaciones Telemáticas a la AEPD (NOTA).

Las hojas de solicitudes correspondientes a las notificaciones de ficheros enviadas por Internet podrán ser firmadas electrónicamente, debiendo presentarse en el Registro Telemático de la Agencia Española de Protección de Datos (AEPD), de acuerdo con las normas y requisitos establecidos en la Resolución de creación del mismo. Las notificaciones también podrán continuar enviándose por Internet sin firma electrónica, si bien, en ese caso, deberá cumplimentarse y firmarse la hoja de solicitud de inscripción generada por el formulario, que habrá de presentarse en la Agencia Española de Protección de Datos, o en cualquiera de los registros y oficinas a que se refiere el artículo 38.4 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

Por último, podrá presentar notificaciones en formato en papel, con la seguridad de que han sido correctamente cumplimentadas. Este formato de presentación incluye un código óptico de lectura para agilizar su inscripción.

• En su artículo 19, la LOPD indica con respecto al control de acceso físico (art.19): exclusivamente el personal autorizado en el Documento de Seguridad podrá tener acceso a los locales en donde se encuentren ubicados los sistemas de información con datos de carácter personal. 

¿Qué tipos de medidas deberíamos de tomar para cumplir con la normativa? Realiza algunas recomendaciones técnicas.

"Artículo 19. Control de acceso físico.

Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los locales donde se encuentren ubicados los sistemas de información con datos de carácter personal"

 Yo creo que ya están reflejadas muchas de las medidas que se deben tomar ya están reflejadas en la propia ley, pero de todos modos, lo más importante es proteger tanto físcamente como lógicamente los datos.

INTEGRIDAD EN WINDOWS Y EN LINUX

¿Que es eso de la integridad de los archivos ?

Comprobar la integridad de un fichero consiste en averiguar si algún dato del archivo ha variado desde su creación. El archivo puede haber sido modificado por error, por cortes en la comunicación o, en el peor de los casos, porque un atacante haya inyectado código malicioso.

Integridad en Windows

• Abrir el terminal como Administrador (Inicio-->escribe CMD en el cuadro de búsqueda y cuando lo localice, hacer botón derecho sobre él y elegir "Ejecutar como Administrador")

• Teclear el comando sfc /scannow y comenzará a realizar el chequeo del Sistema Operativo

 Integridad en Linux

Vamos a chequear que el Sistema Operativo de Linux no está corrupto, para ello utilizaremos la herrmienta hunter

• Abrir el terminal de Linux (como root)
• Instalar la herramienta Rootkit hunter con el comando >apt-get install rkhunter

• Actualizar la aplicación con el comando apt-get rkhunter --update

• Una vez actualizada la aplicación procedemos a hacer el chequeo con el comando       >rkhunter --checkall

Confidencialidad de archivo en Linux

El cifrado de archivos y carpetas es una forma de protegerlos frente a un acceso no deseado

Pasos a seguir:

• Vamos a Sistema-->Preferencias-->Contraseñas y claves de cifrado

• Hacemos clic en Archivo--> Nueva y elegimos Clave PGP, que nos permitirá cifrar correo y archivos

• En las siguientes ventanas que se nos mostrarán, podremos introducir alguna información acerca de la clave, como nombre, dirección de correo, etc. No es necesario introducir todos los datos, pero como mínimo tenemos que introducir nombre (5carecteres de longitud). IMPORTANTE!!!! .. el nombre no es la contraseña, cualquiera puede verlo, la contraseña será la que se nos pida en la siguiente ventana.

• Cuando se acabe de generar la clave, aun debemos instalar la aplicación seahorse-plugins ("sudo apt-get install seahorse-plugins")

• Una vez creadas las claves e instalada la aplicación anterior, nos dirigimos a la ubicación donde se encuentra el archivo o carpeta que queremos cifrar mediante contraseña. Hacemos clic derecho sobre dicho archivo y seleccionamos la opción Cifrar... Nos mostrará las contraseñas que tenemos disponibles (por el nombre que le pusimos cuando la creamos), Seleccionamos la que nos interese, nos pedirá la contraseña y LISTO!!!

• Nos creará un archivo cifrado con extensión .pgp. 

TAREAS PROPUESTAS Ejercicio 5

Es recomendable de cara a nuestra seguridad configurar correctamente nuestro equipo, controlar la aceptación de cookies y el bloqueo de ventanas emergentes, así como no recordar contraseñas en caso de compartir el equipo con otros usuarios

Opciones de seguridad o privacidad que permite configurar Chrome

Si vamos a la configuración de Chrome, nos permite cambiar los parámetros que nos interesen. por ejemplo, si queremos que se guarden unas contraseñas y otras no, iremos a la Configuración y en la parte que pone Contraseñas y formularios, clicamos en "Administrar contraseñas" y nos sale una ventana como la siguiente:

¿Se aceptan cookies?

Google Chrome

1. Selecciona el icono de menú de Chrome .
2. Selecciona Configuración.
3. En la parte inferior de la página, selecciona Mostrar opciones avanzadas...
4. En la sección "Privacidad", selecciona Configuración de contenido.
5. Selecciona Permitir que se almacenen datos locales (recomendado).
6. Selecciona Listo.

Para ver todas las cookies que tengo pulsamos en "todas las cookies y los datos de sitios..."

En esta parte de Configuración de Chrome podemos elegir lo que permitimos y lo que no

AMENAZAS

Amenazas provocadas por personas

• Dentro de una organización: El propio personal puede producir un ataque intencionado, o se puede producir accidentes causados por error o desconocimiento de las normas básicas de seguridad
• Hacker: Experto en aspectos técnicos relacionados con la informática. Puede haber varios tipos de hackers, los que sus acciones son de carácter constructivo y otros de carácter destructivo denominados hackers o crackers.  Otra clasificación de hacker serían:
• Newbie: Hacker novato
• Wannaber: Les interesa el tema de hacking, pero aún no son reconocidos por la élite
• Lammer o Script-Kiddies: Petenden hacer hacking sin tener concocimientos de informática
• Luser (looser+user): Termino utilizado por hackers para referirse a los usuarios comunes, de manera despectiva y como burla
• Pirata informático, ciberdelicuente o delicincuente informático: Personas dedicadas a realizar actos delictivos y perseguidos legalmente

Amenazas físicas y lógicas

Afectan a las instalaciones y/o hardware contenido en ellas y suponen el primer nivel de seguridad a proteger para garantizar la disponibilidad de los sistemas.

Físicas:

• Robos, sabotajes, destrucción de sistemas
• Cortes, subidas y bajadas bruscas del suministro eléctrico
• Condiciones atmosféricas adversas
• Catástrofes naturales o artificales

Lógicas: es software o código que de una forma u otra pueden afectar o dañar a nuestro sistema, creados de forma intencionada para ello o simplemente por error

• Herramientas de seguridad: Existen herramientas para detectar y solucionar fallos en los sistemas, pero se pueden utilizar para detectar esos mismos fallos y aprovecharlos para atacarlos
• Falsos programas de seguridad: falsos antivirus o antiespías
• Puertas traseras: Los programadores insertan "atajos" de acceso o administración, en ocasiones con poco nivel de seguridad
• Virus: Secuencia de código que se inserta en un fichero ejecutable, de forma que cuando el archivo se ejecuta, el virus también lo hace.
• Gusano: Programa capaz de ejecutarse por sí solo a través de redes, normalmente mediante spam
• Troyanos o caballos de Troya: Aplicaciones con instrucciones escondidas de forma que éste parezca realizar las tareas que un usuario espera de él, pero que realmente ejecute funciones ocultas sin conocimiento del usuario
• Programas conejo o bacterias: Programas que no hacen nada útil, simplemente se dedican a reproducirse hasta que el número de copias acaba con los recursos del sistema produciendo una negación de servicio
• Canales Cubiertos: Canales de comunicación que permiten a un proceso transferir información de forma que viole la política de seguridad del sistema.

Técnicas de ataque

Los tipos de amenaza pueden clasificarse en función de la técnica que se emplean para realizar el ataque

• Malware: Programas malintencionados que afectan a los sistemas con pretensiones como controlarlo o realizar acciones remotas, etc.
• Ingeniería social: Obtener información confidencial a través de la manipulación de la confianza de usuarios legítimos.
• Scam: Estafa electrónica por medio del engaño de donaciones, transferencias, etc.
• Spam: Correo o mensaje basura, no solicitados, habitualmente de tipo publicitario
• Sniffing: Rastrear monitorizando el tráfico de una red para hacerse con información confidencial
• Pharming: Redirigir un nombre de dominio a otra máquina distinta falsificada y fraudulenta
• Phising: Estafa basada en la suplantación de identidad y la ingeniería social para adquirir acceso a cuentas bancarias o comercio electrónico ilícito
• Password cracking: Descifrar contraseñas de sistemas y comunicaciones
• Botnet: Conjunto de robots informáticos o bots, que se ejecutan de manera autónoma y automática, en multitud de hosts, normalmente infectados de forma remota. Sus fines normalmente son rastrear información confidencial o incluso cometer actos delictivos.
• Denegación de servicio: Causar que un servicio o recurso sea inaccesible a los usuarios legítimos