1 Seguridad de los Recursos de Información – GSI732 Carmen R. Cintrón Ferrer © 2003-2006, Derechos Reservados

2 Módulos  Introducción  Principios de seguridad  Tecnologías de seguridad  Redes inalámbricas y usuarios móviles  Entorno del comercio-e  Implantación de programas de seguridad  Perspectivas sociales y futuras  Referencias

3  Single Sign On (SSO)  Federations  Digital Signatures  E-commerce Módulo Entorno del e-comercio

4 Entorno del Comercio-e “Single Sign-On”  Definición: Proceso de autenticación integral ID & Password común provisto inicialmente Permite acceder todos los servicios y módulos autorizados al usuario Facilita la comunicación entre aplicaciones y transfiere datos del usuario autorizado  En Comercio-e: Almacena datos financieros del cliente para utilizarlos luego en la relación comercial.

5 “Single Sign-On” Fallas o limitaciones  Variedad de aplicaciones que requieren diferentes niveles de seguridad resulta en una combinación exponencial  Tiempo de instalación y administración  Cambio frecuente en los datos provistos impone carga administrativa incosteable  Reduce la productividad al impedir acceso al usuario por problemas de actualización de datos

6 “Single Sign-On” Ventajas resultantes  Reduce o simplifica los “account names” de cada usuario óptimamente a uno (LDAP)  Reduce o limita los “passwords” a uno, requiere estandarizar las características  Elimina la necesidad de volver a identificarse  Centraliza la información requerida para cambiar el “password”  Centraliza la administración de las cuentas

7 Autenticación federada  Shiboleth  Federations

8 “Lightweight Directory Access Protocol” LDAP – ¿Solución para SSO?  Provee un directorio centralizado  Permite distribuirlo entre servidores para segmentar la administración de usuarios  Intercambia información, sincroniza y replica los datos del directorio entre servidores  Asume la responsabilidad de autenticar  Carece de protocolos robustos de seguridad

9 Ejercicio Autenticación centralizada  Identifique productos que permiten implantar SSO  Contraste LDAP vs Active Directory  Describa en que consiste el principio de “Federations”. ¿Cómo lo integraría al entorno universitario, gubernamental, privado?  ¿Necesita de Shiboleth?

10 Entorno del Comercio-e “Digital Signatures”  ¿Por qué la firma digital? Confirmar identidad del cliente Validar un acuerdo o contrato Registrar fecha de una transacción  Ventajas que provee: Autenticación Autorización Integridad Privacidad Anonimidad Aceptación (‘Non- repudiation”)

11 Entorno del Comercio-e “Digital Signatures”  Paquete encifrado que se añade a un documento o transacción para: Probar integridad o autenticidad Atar la identidad de las partes  Servicios que proveen los certificados: Identificación de las partes (“Identifying”) Autenticación (“Authorizing”) Respaldo para evitar repudiación (“Transactional”) Certificación de fechas (“Timestamp”)

12 Entorno del Comercio-e “Electronic Signatures”  Versión electrónica de la firma personal  Puede incorporar una firma digital  Objetivos: Evidencia las partes en documento o transacción Reconoce la responsabilidad legal (“binding”) Expresa el consentimiento o aprobación Facilita el intercambio de documentos  Legislación federal: “E-Sign”

13 Entorno del Comercio-e “E-Sign”  Resguardo que provee: Requiere consentimiento expreso de partes Consentimiento para el uso puede revocarse Prohíbe su uso para cancelación de servicios públicos y ciertos derechos o contratos Impide anular acuerdos basados en “e-sign”  Áreas que no cubre: Carece de estándares y no define la tecnología Permite múltiples firmas (“e-sign”) al individuo No requiere demostrar que el signatario la fijó, no cuando la fijó para evitar modificaciones ulteriores al documento Tampoco exige protecctión frente a fraudes

14 Entorno del Comercio-e “Transactional Security”  Identrus: A transactional Security Infrastructure  Proceso: Comerciante solicita identificación del consumidor del MFI MFI contacta el CFI CFI confirma o repudia identidad del consumidor MFI utiliza Identrus para validar identidad provista por CFI Identrus provee garantías frente a riesgos sobre identidad  Ventajas: Reduce costo de transacciones y documenta tracto Reduce riesgos al asegurar identidad instantáneamente Aplica reglas en forma consistente y estándar Provee acceso global, mercados amplios y relaciones estables

15 Entorno del Comercio-e “Transactional Security”  VISA “Account Information Security Standards: AISS requiere política de reclutamiento de personal Restringir acceso a datos sobre la base de “need to know” Asignar identificador único a cada usuario Bitácoras de transacciones para cada usuario Instalar y mantener FireWall para acceso desde Internet Encifrar datos que se van a acceder desde Internet Proteger sistemas de los virus Mantener los servidores actualizados (“security patches”) Instalar servidores sin utilizar la instalación “default” Evitar dejar documentos y discos expuestos Destruir (“shred”) datos, documentos y archivos que no se usan Verificar regularmente la seguridad de sistemas y procesos Investigar de inmediato cualquier incidente de pérdida o intrusión Recurrir a proveedores que cumplen con éstos estándares

16 Entorno del Comercio-e “Transactional Security”  Otros enfoques: Smart Cards AADS – “Account-based secure payment objects” Regulaciones de la comunidad europea (EU)

17 Entorno del Comercio-e “Application Security”  Aplicaciones principales: Servicios WEB Bancos de datos transacciones Correo electrónico  Issues principales: Acceder aplicación comprometida y actuar con todos los privilegios disponibles Sobrecargar “buffers” Mantener servidores sin actualizar o fortalecer el sistema operativo en aspectos de seguridad

18 Entorno del Comercio-e “Application Security”  ¿Por qué proteger las aplicaciones? Reducir costo de interrupciones Minimizar impacto en la imagen corporativa Limitar riesgos de fraude Reducir responsabilidad ante posibles violaciones a la prividad e intimidad Restringir el impacto a servidores internos asociados a la presencia en el WEB

19 Entorno del Comercio-e “Application Security”  Enfoques de presencia WEB: Servidores WEB:  Proveen integración e interacción con el usuario  Sistemas poco costosos  Integran componentes de múltiples proveedores  Permiten desarrollar programas o integrar programación enlatada con facilidad Servidores de Comercio electrónico:  Integran funcionalidad de compras, pagos, etc.  Programación desarrollada con ese objetivo  Proveen enlaces a bancos de datos organizacionales  Mayor costo en desarrollo e implantación

20 Entorno del Comercio-e “WEB Application Security”  Tipos de ataques a servidores/servicios: Web site defacement Directory traversal attack (“../”) Hexadecimal directory traversal attack (%2F) Unicode directory traversal attack  Ataques a navegadores (“browsers”): Scripts Enlaces malvados (“malicious links”)  Ataques del lado del cliente: Ejecución de rutinas arbitráreamente Llevar al usuario a la sede WEB del asaltante (“attacker”) Redireccionar enlaces a páginas diferentes Uso indebido de “cookies’

21 Entorno del Comercio-e “WEB Application Security”  Pasos a seguir: Escrutar entorno de sistemas para cada aplicación Limitar aplicaciones compartiendo un servidor Reducir aplicaciones subsidiarias instaladas Establecer guías (“baselines”) de seguridad Eliminar programación u objetos opcionales Instalar parchos de seguridad con regularidad Reducir a un mímino los permisos concedidos Integrar autenticación a nivel de cada aplicación Instalar esquemas de encifrado

22 Entorno del Comercio-e “WEB Application Security”  Otras consideraciones de seguridad: Bitácoras de errores Firewalls para las aplicaciones WEB “IIS Lockdown” Controlar desarrollo de páginas dinámicas Controlar implantación operacional de aplicaciones Adiestrar programadores y WebMasters Auditar vulnerabilidades con regularidad

23 Entorno del Comercio-e “WEB Application Security”  Incrementar seguridad del navegador: Mantener versiones actualizadas Configurar las características de navegación Configurar las opciones de Internet Incrementar las restricciones de seguridad Incrementar las protecciones a la privacidad Restringir acceso a páginas que exponen contenido ofensivo  Centralizar la administración del navegador

24 Entorno del Comercio-e Arquitectura del correo electrónico Remitente Destinatario Correo-e SMTPSMTP POPPOP SMTP- “Simple mail transfer protocol”POP “Post office protocol IMAP- Ïnternet message access protocol

25 Entorno del Comercio-e “E-Mail Application Security”  Prácticas de seguridad para el correo-e: Filtrar contenido Restringir anejos y rutinas insertas Filtrar “Spam’”  Otras prácticas: Retener copias del correo recibido (archivos) Autenticar mensajes Adiestrar usuarios Encifrar correo-e:  Pretty good privacy (PGP)  Secure MIME  Transport layer security (TLS)

26 Entorno del Comercio-e “Other Application Security”  Databases: Integran autenticación a nivel de cada aplicación RDB’s – granularidad por niveles:  Esquema  Entidad  Atributos Verificar configuración al instalar  Instant messaging: Retención de mensajería no está provista Transferencia de archivos sin controles Facilita propagación de virus

27 Entorno del Comercio-e Arquitectura de Servicios  Venta de productos o servicios: Confidencialidad de transacciones y datos Integridad del proceso Responsabilidad (“accountability”) de las partes  Disponibilidad y diseminación de información: EDI B2B & B2C  Disponibilidad de la sede virtual  Confianza y comodidad del usuario

28 Entorno del Comercio-e Arquitectura de Servicios  Ubicación y segregación de los servidores  Servicios y puertos disponibles (80&443)  Selección y configuración del sistema operativo: Conocimiento del entorno Capacidad de ejecución Posibilidad de seguimiento (“fail-over”)  Selección y configuración del servidor WEB: Servicios activos Evitar ejecución desde el directorio matriz (“root”) Inactivar “scripts” innecesarios

29 Arquitectura de seguridad

30 Entorno del Comercio-e Arquitectura de Servicios  Acceso externo a servicios internos:  Medios de acceso externo: Líneas dedicadas o por “Dial-up” Virtual private network (VPN) Internet (acceso directo sin encifrar) Servicio/PuertoDescripción HTTP(80)/HTTPS(443)Permite acceder Web a los empleados FTP (21-22)Permite transferir archivos a los empleados TelNet(23)/SSH(22)Permite establecer sesiones interactivas remotas POP-3(110)/IMAP(143)Permite acceder cuentas de correo-e NNTP(119)Para acceder remotamente servidores de la red

31 Entorno del Comercio-e Arquitectura de Servicios  Regular o prohibir acceso externo a servicios de: Servicio/PuertoDescripción NetBios(135,137-139)Permite compartir archivos y ejecutar mandos remotos NFS(2049)Permite acceder los servicios de archivos de red X(6000-6100)Permite sesiones remotas de XWindows “r services”(512-514)Permite interacción remota sin “password” TFTP(69)Similar a FTP pero no requiere identificar al usuario NetmeetingPeligro potencial porque activa muchos puertos (H.323 puede utilizarse en sustitución) Remote Control ProceduresDe ser necesario activar a través de un VPN SNMP(169)Permite administrar la red, limitar a acceso interno

32 Entorno del Comercio-e Infraestructura de comunicaciones  Una sola línea de acceso (IN/OUT) presenta riesgos: Router Channel service unit (CSU) “Local loop” (Conecta la organización CO con el ISP) Punto de presencia del ISP (PoP)  Riesgos pueden reducirse de acuerdo severidad: Múltiples líneas de acceso al ISP Acceso a múltiples PoP’s del mismo ISP Múlltiples ISP’s un sólo acceso por cada uno Múltiples líneas de acceso a múltiples PoP’s o ISP’s  Replicación del CO – “Partner networks”

33 Ejercicio Comercio-e  Identifique tres (3) riesgos del Comercio-e  Explique cómo integrar: Firmas digitales Filtrado de e-correo Filtrado de contenido Protección de sede Web Protección de servidores de aplicación Protección de transacciones financieras  Esas tecnologías, ¿reduce los riesgos identificados?

34 Preguntas

35 Referencias  Tanenbaum, Computer Networks  Maiwald, Network Security  Proctor & Byrnes, The secure enterprise  Panko, Corporate computer and network security

36 Referencias  SANS Institute - various  EDUCAUSE Evolving Technologies Committee: Overview of Security (Oct 2002)  EDUCAUSE Mid-Atlantic Regional Conference: Measuring the success of wireless  CERT: Internet Security Issues (May 2000)  CERT: Security of the Internet (1997)  CERT: Organized crime and cyber-crime (2002)  American Bar Association: www.abanet.orgwww.abanet.org