“… roban datos de 40 millones de tarjetas de crédito ..” la nación 19 de junio 2005
DESCRIPTION
Seguridad en Redes Teoría de las Comunicaciones Departamento de Computación Facultad de Ciencias Exactas y Naturales UBA 1 Cuatrimestre 2011. “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005. - PowerPoint PPT PresentationTRANSCRIPT
![Page 1: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/1.jpg)
Seguridad en Redes
Teoría de las ComunicacionesDepartamento de Computación
Facultad de Ciencias Exactas y NaturalesUBA
1 Cuatrimestre 2011
![Page 2: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/2.jpg)
“…Roban datos de 40 millones de tarjetas de crédito ..”
La Nación 19 de junio 2005“El número de ataques de hackers a sistemas conectados a Internet en todo
el mundo, ha crecido un 2.400 %2.400 % en los últimos seis años. Lo más alarmante es que la mitad de estos ataques han tenido éxito.”
“Carnegie-Mellon University´s Software Engineering”
“Las estadísticas del FBI revelan que aún la gran mayoría de los ataques no son detectados. Aún así, en EEUU el 64 % de las empresas denunciaron haber sufrido ataques.”
“Efe, 2001”
“Los ataques procedentes de fuera de la empresa y los que tienen el origen entre el personal de la propia compañía están muy equilibrados: 62 % frente a 38 % respectivamente”
“Instituto de Seguridad Informática de San Francisco”
![Page 3: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/3.jpg)
Algunos casos
El “Morris Worm” de 1988 El incidente “Berferd” de AT&T en 1991 El robo de passwords desde los proveedores de
servicios a fines de 1993 y principios de 1994 El ataque mediante “IP Spoofing” al
Supercomputer Center de San Diego a fines de 1994
El robo de fondos del Citibank en 1995
![Page 4: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/4.jpg)
SeguridadSeguridad
ProblemáticaProblemática
Explosión de la red InternetExplosión de la red Internet
Falta de consideración de un Falta de consideración de un
entorno comercial entorno comercial
La seguridad no fue considerada La seguridad no fue considerada
en los aspectos del diseñoen los aspectos del diseño
EavesdroppingEavesdropping
Password sniffingPassword sniffing
Modificaciones de datosModificaciones de datos
SpoofingSpoofing
RepudiationRepudiation
![Page 5: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/5.jpg)
Hackers y crackers
Hacker:– Definición inicial de los ingenieros del MIT
que hacían alardes de sus conocimientos en informática.
– Pirata Informático. Cracker:
– Persona que intenta de forma ilegal romper la seguridad de un sistema por diversión o interés.
No existe uniformidad de criterios
![Page 6: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/6.jpg)
Donde introducir ?
Nivel Físico. El wiretapping (intercepción de cables) puede ser evitado encerrando las líneas de transmisión en tubos sellados conteniendo gas argón a alta presión. Cualquier intento de perforar los tubos liberaría el gas reduciendo la presión y disparando una alarma. Esta técnica es utilizada por algunos sistemas militares.
![Page 7: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/7.jpg)
Donde ? Nivel de Enlace. Los paquetes en las líneas
punto a punto pueden ser codificados en el emisor y decodificados en el receptor en forma transparente a los niveles superiores de red. El problema a esta alternativa se presenta cuando un paquete tiene que atravesar múltiples routers, debido a que dicho paquete debe ser desencriptado en cada router volviéndose vulnerable a ataques dentro del mismo. Por otra parte, esta técnica no permite proteger sesiones en forma selectiva. Sin embargo, la ventaja de la encripción de enlace (link encryption) es que la misma puede ser agregada fácilmente.
![Page 8: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/8.jpg)
Nivel de Red. Soluciones tales como, los firewalls permiten controlar y filtrar los paquetes entrantes y salientes de una red a otra. Si bien los mismos resultan efectivos para proteger redes conectadas a través de Internet, no proveen seguridad a nivel de transacciones end-to-end.
Nivel de Transporte. Se pueden encriptar las conexiones completas, es decir, end to end (proceso a proceso).
![Page 9: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/9.jpg)
Nivel de RedNivel de Red Nivel de SesiónNivel de Sesión Nivel de AplicaciónNivel de Aplicación
TCP
HTTP FTP SMTP
AH ESP
TCP
IP
HTTP FTP SMTP
SSL PCT
TCP
IP
S-HTTP DASS
TCP
IP
HTTP FTP Telnet
SET Kerberos
ProtocolosConsiderados
![Page 10: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/10.jpg)
ConfidencialidadConfidencialidad Integridad de datosIntegridad de datos AutenticaciónAutenticación No RepudiaciónNo Repudiación AutorizaciónAutorización
RequerimientosRequerimientos
Definición de un Marco de SeguridadDefinición de un Marco de Seguridad
![Page 11: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/11.jpg)
Autenticación: Ninguna parte puede asumir en forma no autorizada la identidad de otra parte.
Confidencialidad: Los mensajes sólo deben ser leídos por las partes especificadas en la comunicación.
Integridad de datos: Los datos enviados no pueden ser modificados durante su transmisión.
No Repudiación : Ninguna de las partes puede negar haber participado en una transacción. Por ejemplo:negar el envío de un mensaje.
Autorización: Los servicios brindados sólo pueden accedidos por usuarios autorizados
![Page 12: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/12.jpg)
No Repudio– Este término se ha introducido en los últimos años
como una característica más de los elementos que conforman la seguridad en un sistema informático.
– Está asociado a la aceptación de un protocolo de comunicación entre emisor y receptor (cliente y servidor) normalmente a través del intercambio de sendos certificados digitales de autenticación.
– Se habla entonces de No Repudio de Origen y No Repudio de Destino, forzando a que se cumplan todas las operaciones por ambas partes en una comunicación.
![Page 13: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/13.jpg)
Agenda Estadísticas- Introducción Problemática – Marco de Trabajo Algoritmos Criptográficos Mecanismos de Seguridad (ProtocolosDe autenticación , Integridad de Mensajes X.509 ) . Ejemplos ( PGP, SSL , HTTPS, IPSec) Firewalls
![Page 14: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/14.jpg)
Algunas DefinicionesCriptología: ciencia que estudia e investiga todo aquello
relacionado con la criptografía: incluye cifra y criptoanálisis.
Criptógrafo: máquina o artilugio para cifrar.Criptólogo: persona que trabaja de forma legítima para
proteger la información creando algoritmos criptográficos.Criptoanalista: persona cuya función es romper algoritmos de
cifra en busca de debilidades, la clave o del texto en claro.Texto en claro: documento original. Se denotará como M.Criptograma: documento/texto cifrado. Se denotará como C.Claves: datos (llaves) privados/públicos que permitirán cifrar.
![Page 15: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/15.jpg)
Cifrado Clave Publica y Privada
![Page 16: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/16.jpg)
Clave simétrica
“Caminante no hay camino, se hace camino al andar”
AxCy,5mEsewtw;ab80cx!qpx4ht0;dg03!,tatpoqc
Texto de entrada Texto de encriptado“Caminante no hay
camino, se hace camino al andar”
Texto de salida
Encriptación Desencriptación
La misma clave
![Page 17: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/17.jpg)
Clave asimétrica
“Caminante no hay camino, se hace camino al andar”
“Caminante no hay camino, se hace camino al andar”
AxCy,5mEsewtw;ab80cx!qpx4ht0;dg03!,tatpoqc
Texto de entrada Texto de encriptado Texto de salida
Encriptación Desencriptación
Claves distintas
Clave pública del destinatario
Clave privada del destinatario
![Page 18: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/18.jpg)
Administración de claves Cada persona tiene dos pares de claves:
– Par de claves para intercambio de clave– Par de claves para firma– Los pares de claves son distintos
Los pares de claves públicas y privadas se generan en la máquina del usuario
La clave pública es conocida por todo el mundo La clave privada es conocida solo por el usuario
![Page 19: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/19.jpg)
Uso de los pares de claves Par de claves para intercambio de clave
– La clave pública del destinatario se utiliza para encriptar una clave de comunicación generada al azar
Par de claves para firma– La clave privada para firma del emisor se
utiliza en operaciones de firma digital– Los destinatarios verifican la firma utilizando la
clave pública del emisor
![Page 20: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/20.jpg)
Comunicación segura Encriptación simétrica para los datos
– Los algoritmos de clave pública son muy lentos para encriptación en bloques
– Las restricciones de exportación de EE.UU. no permiten la encriptación en bloques por clave pública
– Usa el par de claves para intercambio de clave– La clave pública de intercambio de clave del
destinatario se utiliza para encriptar la clave simétrica generada al azar.
![Page 21: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/21.jpg)
Firmas digitales Se utiliza como una firma escrita
– Verifica la identidad del firmante– Garantiza que el documento no ha sido
modificado desde que fue firmado– Base para no repudiación (non-repudiation)
Se utiliza específicamente el par de claves para firma– Hash del documento encriptado con la clave
privada del firmante
![Page 22: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/22.jpg)
Certificados Documento firmado digitalmente.
– Asocia la identidad con la clave pública.– Firmado por una Autoridad Certificante
“Confiable”.– Identidad verificada a partir de la
capacidad de encriptar documentos con su clave privada.
![Page 23: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/23.jpg)
Emisión de certificados La generación del par de claves se realiza localmente
por el solicitante. Se empacan las claves con información de datos del
solicitante. Se envían las claves y los datos a la Autoridad
Certificante (CA). La CA aplica los datos para verificar la información. La CA crea el certificado y lo firma con su clave
privada. La CA envía/publica el certificado.
![Page 24: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/24.jpg)
Criptografía
Notas de Clase Adicionales
Chapter 8 del Tanenbaum
![Page 25: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/25.jpg)
Criptografía Del griego “escritura secreta” Cipher vs. Code
1. Cipher: es una transformación carácter-a-carácter o bit-a-bit sin considerar la estructura lingüística del mensaje
2. Code: reemplaza una palabra con otra palabra o símbolo (ej. Navajo code WWII)
![Page 26: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/26.jpg)
Modelo Criptográfico (Symmetric-Key Cipher)
![Page 27: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/27.jpg)
Metodos Basicos de encriptado
– Cifrado por Sustitución: cada letra o grupo de letras es reemplazado por “idem” . Se Preserva el orden del plaintext .
E.j., Cifrado de Cesar ; sustitución monoalfabética (cada letra se mapea con otra; 26!=4x10^26 llaves posibles )
– Transposición: Reorderna las letras pero no las “enmascara”
E.j., Rail Fence cipherm=“HELLOWORLD”
Tenemos: HLOOL c=“HLOOLELWRD” ELWRD
![Page 28: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/28.jpg)
Principio de Kerckhof
“All crypto algorithms must be public; only the keys are secret”
--- “La Cryptographie Militaire,” J. des Sciences Militaires, vol. 9, pp.5-38, Jan. 1883 and pp. 161-191, Feb. 1883.
![Page 29: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/29.jpg)
Longitud de la clave y Factor de Trabajo
2 digit key 100 combinaciones. 6 digit key 1 millón combinaciones. 64 bit keys previene lectura de los mails por
hermanos menores … 128 bit keys uso comercial rutinario >256 bits información gubernamental ….
![Page 30: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/30.jpg)
Basic Cipher Attacks for Mono-alphetic Substitution
Use statistical properties of natural languages. Rank of Frequency of appearance of
– Unigrams (single letter): e, t, o, a, n, i etc– Digrams (two-letter): th, in, er, re, an, etc– Trigrams (three-letter): the, ing, and , ion, etc
Counting the frequencies of letters in ciphertext. Tentatively assign the most common one to e; next to t... Then look at the trigrams of decipher text, if “tXe” appears, it should
be “the”! Original deciphering function should be changed to map from X to h.
Similarly, what should we do if we see “thYt”? How about “aZW”?
![Page 31: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/31.jpg)
Columnar Transposition Ciphers Cifrado por transposicion Keyed por una frase como
“MEGABUCK”. La letra de la key indica el orden de columnas por donde “salir” el cifrado. Plaintext se lee horizontalmente, ciphertext lee columna de salida por columna.
![Page 32: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/32.jpg)
One-Time PadsCifrado Inviolable. Elegir un gran random bit string como clave (= longitud del texto?) Usar Bit XOR como E y D.Problema: como distribuir y proteger la key.
![Page 33: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/33.jpg)
Quantum Cryptography
![Page 34: “… Roban datos de 40 millones de tarjetas de crédito ..” La Nación 19 de junio 2005](https://reader036.vdocuments.net/reader036/viewer/2022070503/568157b4550346895dc53c74/html5/thumbnails/34.jpg)
Data Encryption Standard
The data encryption standard 1977/IBM (12856 bits key) for unclassified info. (a) General outline.(b) Detail of one iteration. The circled + means exclusive OR.
Ri-1 expand to 48 bit; exclusive or with KiDivide into 8 groups 6bit each
Each group goes through S-Box; output is 4 bits.