Fase 2 233011_2 William Martinez R.docx

FASE 2. SOLUCIÓN DE PROBLEMAS PARA EL NIVEL DE OCULTAMIENTO DE LA INFORMACIÓN.

WILLIAM HERNANDO MARTINEZ RODRIGUEZ

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA – UNAD ESCUELA DE CIENCIAS BASICAS, TECNOLOGIA E INGENIERIA ESPECIALIZACION EN SEGURIDAD INFORMATICA BOGOTÁ 2019

CONTENIDO

INTRODUCCION ..................................................................................................... 3 DESCRIPCIÓN DEL MÉTODO DE CIFRADO QUE SE VA A UTILIZAR ................ 4 ARQUITECTURA DE SEGURIDAD ........................................................................ 6 DESCRIPCIÓN DEL PROCESO DE CIFRADO ...................................................... 7 POLÍTICAS DE SEGURIDAD .................................................................................. 8 CONCLUSIONES .................................................................................................. 10 BIBLIOGRAFIA ...................................................................................................... 11

2

INTRODUCCION

Al paso de los años, en las organizaciones se ha hecho vital el tema de la salvaguarda de la información, para lo cual se hace necesario implementar políticas, procedimientos, métodos y controles que ayuden a mantener la triada de la información establecida por los principios de Confidencialidad, Integridad y Disponibilidad. Por lo anterior es importante que las organizaciones busquen los métodos para la protección en el transporte de la información, a través de los cuales se puedan implementar estrategias para controlar o minimizar los riesgos a los que puede estar amenazada la información. El presente trabajo fue realizado en base de la metodología de cifrado Afin, con la cual se diseñara la estrategia para la empresa BANGOV, buscando con ello el transporte seguro de la información.

3

DESCRIPCIÓN DEL MÉTODO DE CIFRADO QUE SE VA A UTILIZAR

Con relación a las técnicas básicas para protección sugeridas para transportar la información de forma segura, se ha determinado que el mejor método para dicho procedimiento es el de cifrado Afin. Este cifrado también conocido como cifrado de transformación afin, es un tipo de cifrado por sustitución, en cuyo proceso se toman todos los símbolos del alfabeto en claro o sin cifrar y luego después del procedimiento es sustituido por otros símbolos del alfabeto cifrado (texto cifrado). Es importante aclarar que tanto el alfabeto claro como el alfabeto cifrado deben tener el mismo número de símbolos, esto hace que cada símbolo tendrá su equivalente en el momento de la sustitución. “El cifrado afin utiliza una función matemática afin en aritmética modular de la siguiente forma: 𝑐𝑖 = (𝑎 ∗ 𝑚𝑖 + 𝑏) 𝑚𝑜𝑑 𝑛 Dónde: 𝑐𝑖 : Identifica el símbolo i del texto cifrado 𝑎 : Constante de decimación 𝑚𝑖 : Identifica el símbolo i del texto claro 𝑏 : Constante de desplazamiento 𝑛 : Número de símbolos del alfabeto cifrado”1 Este cifrado tiene una serie de condiciones en los valores de sus constantes para que la sustitución y el cifrado sean válidos:  

𝑎 debe ser diferente de cero y tomar valores entre 1 y mayores que 1 Los valores para la constante 𝑏 deben oscilar entre cero y el número total de símbolos al alfabeto cifrado.

Además para que el cifrado sea operativo 𝑎 y 𝑛 deben ser primos entre sí, esta condición es necesaria para que 𝑎 tenga inverso de multiplicación (𝑎−1 ) y pueda darse el procedo de descifrado. Justificación: de acuerdo al requerimiento de la organización BANGOV se hace necesario el transporte de forma segura de información de alta relevancia, para lo 1

https://es.wikipedia.org/wiki/Cifrado_af%C3%ADn

4

cual el método de encriptación a utilizar debe ser complejo y de una seguridad relativamente alta, esto por el tipo de información a transportar. Al comparar las técnicas de cifrado por corrimiento y afin, esta última tiene parámetros de encriptación más seguros y al utilizar un algoritmo matemático resulta un poco más difícil descifrarlo, sin embargo esta técnica también puede resultar vulnerable a ataques criptoanaliticos como análisis de frecuencias, la búsqueda en el espacio de claves o fuerza bruta. Las fortalezas de esta técnica de cifrado es que dependiendo los valores que se asignen a la constante 𝑏 y dependiendo del número de módulo o símbolos a utilizar, se podrá formar una llave de fortaleza que será de gran utilidad al momento de un ataque al tratar de descifrar el contenido que se quiera transportar, es decir, para una cifra afin 𝑐𝑖 = (𝑎 ∗ 𝑚𝑖 + 𝑏) 𝑚𝑜𝑑 27 se podrían formar un aproximado de 468 alfabetos lo cual hace que para este sistema sea algo seguro para los de su categoría.

5

ARQUITECTURA DE SEGURIDAD

El siguiente es el diagrama el cual presenta el flujo de los datos desde la emisión de la información, pasando por el método de encriptación y llegando a su receptor:

Fuente: propia

6

DESCRIPCIÓN DEL PROCESO DE CIFRADO

El proceso que se espera ejecutar es el siguiente: 1. Se centraliza la información que se transportara y se designara la persona que tendrá los medios de encriptación. 2. La información se cifrara con la herramienta y la técnica asignada y se empaquetara. 3. Se realizara el transporte seguro 4. En el destino se desempaquetara y utilizara la herramienta y la misma técnica de cifrado. 5. La persona asignada dispondrá de los medios para desencriptar la información y entregarla a su destinatario. Los responsables del cifrado de la información serán personal de tecnologías, quienes tendrán las llaves de encriptación y se encargaran de realizar el proceso en la fuente y en el destino, asegurando que la información no será alterada en el proceso de encripcion ni en el de transporte.

7

POLÍTICAS DE SEGURIDAD



Claves secretas para cifrado simétrico Las claves secretas utilizadas para cifrado simétrico, también llamada criptografía de clave simétrica, deben de estar protegidas mientras se distribuyen a todas las partes que las van a utilizar. Durante la distribución de claves secretas se debe de utilizar cifrado simétrico, las claves de cifrado simétrico para envío deben de utilizar el algoritmo más fuerte especificado en la política de cifrado aceptable de la empresa, con la clave de la longitud más larga permitida.



Llaves de cifrado de PKI La criptografía de llave pública o la criptografía asimétrica, utiliza pares de llaves públicas y privadas. La llave pública se pasa a la autoridad de certificación para ser incluida en el certificado digital emitido para el usuario final. El certificado digital está disponible para todo el mundo una vez emitido. La llave privada sólo debe estar disponible para el usuario final al que se expide el certificado digital correspondiente.



Infraestructura de llave pública (PKI) de la empresa Los pares de llaves pública y privada emitidas por la infraestructura de llave pública (PKI) de la empresa se generan en Smart Cards reforzadas emitidas a un usuario final específico. La llave privada asociada con el certificado de identidad de un usuario final, que sólo se utiliza para las firmas digitales, nunca deberá de salir de la Smart Card, esto evita que el equipo de Infosec guarde la llave en el depósito en garantía (escrowing) cualquier llave privada relacionadas con los certificados de identidad. La llave privada asociada con algún certificado de cifrado, que se utiliza para cifrar correo electrónico y otros documentos, debe de estar custodiada en el depósito en garantía (escrowing) en cumplimiento de las políticas de la empresa.



Llaves comerciales o de fuera de la organización de Infraestructura PKI Cuando se está trabajando con socios de negocios, la relación puede exigir a los usuarios finales que utilicen pares de llaves públicas-privadas que son generadas en software en la computadora del usuario final. En estos casos los pares de llave pública-privada se almacenan en archivos en el disco duro del usuario final. Las llaves privadas solamente están protegidas por la fuerza de la contraseña o pass phrase elegida por el usuario final.



Pares de llaves PGP Si un socio de negocios requiere el uso de PGP, los pares de llaves públicas y privadas pueden ser almacenados en archivos de anillos de llaves (key ring files) del usuario en el disco duro de la computadora o en un Token de hardware, por ejemplo, una unidad USB o

8

una Smart Card. Dado que la protección de las llaves privadas está en la Pass phrase del archivo de llavero secreto, es preferible que las llaves públicas y privadas se almacenen en un Token de hardware. 

Almacenamiento de Tokens en hardware El almacenamiento de Tokens en hardware almacenado llaves de cifrado será tratado como equipo sensible de la compañía, como se describe en La política de Seguridad Física de la empresa cuando se esté fuera de las oficinas de la empresa. Además, todos los Tokens de hardware, tarjetas inteligentes, Tokens USB, etc., no se almacenarán junto o se dejan conectados a la computadora de ningún usuario final cuando no esté en uso. Para los usuarios finales que estén viajando con los Tokens de hardware, no deberán de ser almacenados o transportados en el mismo contenedor o bolsa de la computadora portátil.



Números de Identificación Personal (PIN), Contraseñas y Pass phrases Todos los PINs, contraseñas o pass phrases utilizadas para proteger las llaves de cifrado deben cumplir con los requisitos de complejidad y longitud descritos en la Política de Contraseñas de la Empresa.

9

CONCLUSIONES

La encriptación es la forma de enviar informacion segura a través de diferentes medios, teniendo en cuenta la técnica y con la confianza que la informacion no perderá su integralidad durante su transporte, dependiendo del grado de encriptación también será su complejidad en descifrar la informacion.

10

BIBLIOGRAFIA

Ramio Aguirre, Jorge. Introducción a la seguridad informática y criptografía clásica TEMA IV: ALGORITMOS DE CIFRA CLÁSICA, 2016. [en linea]. http://www.criptored.upm.es/crypt4you/temas/criptografiaclasica/leccion8.html García, R. D. M. (2009). Criptografía clásica y moderna. España: Septem Ediciones. Recuperado de http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/reader.action?ppg=1&docID=1 0317082&tm=1465508388792 Cañihua, F. R. (2007). Elaboración de una medida tecnológica que permita garantizar y proteger el adecuado tratamiento de los datos personales en el Internet de tercera generación/Ipv6. Chile Universidad de Chile. Recuperado de http://bibliotecavirtual.unad.edu.co:2077/lib/unadsp/reader.action?ppg=1&docID=1 0198466&tm=1465508433109

11