Seguridad de la información: criptografía y protección de datos

SEGURIDAD DE
DATOS
CRIPTOGRAFÍA STEGANOGRAFÍA
RESPALDO DE SEGURIDAD

ENIGMA
Edgar Allan Poe: ”es dudoso que el género humano logre crear
un enigma que el mismo ingenio humano no resuelva”.

E T A
Iraitz Gesalaga y su novia Itxaso Urtiaga viajaron en el
2008 a Venezuela con el propósito de trasladarse a la
«selva» para enseñar a las FARC el programa PGP

INTERPOL halla 37.000
documentos y 210.000
imágenes, 22.000 páginas web,
casi 8 mil direcciones de e-mail, y
983 archivos cifrados.

Narcotraficante Juan Carlos Ramírez confiesa a la
policía haber codificado mensajes en dibujos de Hello
Kitty
Sao Paulo.- La Policía Federal
(PF) de Brasil acusó al confeso
narcotraficante colombiano Juan
Carlos Ramírez Abadía, alias
"Chupeta", de enviar desde su
correo electrónico, mensajes
codificados en dibujos de la gata
Hello Kitty, para ello, utilizaba un
programa de software con
técnicas esteganográficas.

Reveladores datos en agenda de Eliane Karp
EL NÚMERO 0335538 anotado en la
agenda pertenece a la cuenta de Blue
Bay Investment

1 ¿Hay más involucrados? (Ariza relata una conversación que
tuvo con su contacto en un viaje que realizó a Montevideo
(Uruguay)
[...]me indica que se encontraba acompañado de un ingeniero de
sistemas que me enseñaría a instalar un software de
encriptamiento PGP, el cual debía utilizar para el envío de
información vía correo electrónico.
Caso del espía Víctor Ariza

“Hay una serie de indicios que mostrarían que estas interceptaciones
se han generado desde un punto de vista sobre todo político, como
un tema de poder, que finalmente llega a niveles que pueden estar

“Piénsese en una bola de hierro
del tamaño del mundo y en una
mosca que se posa sobre ella una
vez cada millón de años. Cuando la
bola de hierro se haya gastado
completamente por causa de la
fricción, la eternidad ni siquiera
habrá comenzado.”
David Lodge

ECHELON: El gigante de espionaje de EE.UU. que no estaba dormido

PROCESOS A DESARROLLAR
1
•Conceptual
2
•Procedimental
3
•Actitudinal

INTELIGENCIA
SEGURIDAD DE LAS
INFORMACIONES
ENFOQUE
CRIPTOGRAFÍA

=
CABLEADO
TARJETA DE RED
CPU
TERMINALES
CERCOS
ALAMBRADOS
PAREDES

INTELIGENCIACRIPTOLOGÍA
CRIPTOGRAFÍA
CRIPTOANÁLISIS
CONTRAINTELIGENCIA
INTELIGENCIA
STEGANOGRAFÍA
STEGANOANALISIS

=
CONJUNTO DE PROGRAMAS LÓGICOS
SISTEMA OPERATIVO ALARMAS
CÁMARAS DE VIDEO

=
BASE DE DATOS
REGISTROS JOYAS
DINERO

Seguridad física
Sustracción
Interrupción
Daños a componentes
Intrusiones externas
Controles físicos

Virus
Antivirus
Puertas Traseras
Bombas lógicas
Controles acceso
Control de programas

Criptografía
Esteganografia
Interceptados
Fabricación
Interrupción
Modificados
Copiados

Disponibilidad
Integridad
Confidencialidad
Autenticidad
CONDICIONES DE LA INFORMACION

Sistemas no
estructurados
Sistemas
estructurados
Información

CONSTITUCIÓN POLÍTICA DE PERÚ
CAPÍTULO I
(Derechos fundamentales de la persona)
Artículo 2
6. A que los servicios informáticos, computarizados o no, públicos o privados, no
suministren informaciones que afecten la intimidad personal y familiar.
10. Al secreto y a la inviolabilidad de sus comunicaciones y documentos
privados.
18. A mantener reserva sobre sus convicciones políticas, filosóficas, religiosas,
así como a guardar el secreto profesional.

POLÍTICAS
DIRECTIVAS - LINEAMIENTOS
NORMATIVAS
PROCEDIMIENTOS
POLÍTICAS Y PROCEDIMIENTOS EN LA SEGURIDAD
DE LA INFORMACIÓN

• INSTRUMENTOS GENERALES
• REGLAS DE NEGOCIO
• LEY PROPIA DE UNA ORGANIZACIÓN
• SON OBLIGATORIAS – “DEBER”
POLÍTICAS Y PROCEDIMIENTOS EN LA SEGURIDAD DE LA
INFORMACIÓN
POLÍTICAS

DIRECTIVAS - LINEAMIENTOS
• INSTRUMENTOS OPCIONALES
• SEÑALA SÓLO RECOMENDACIONES – “DEBERÍA”
DE LA INFORMACIÓN

NORMATIVAS
• INDICAN REQUISITOS TÉCNICOS
ESPECÍFICOS
• SON DE OBLIGATORIO CUMPLIMIENTO
• NECESITAN SER MODIFICADAS
PERIODICAMENTE
DE LA INFORMACIÓN

NORMATIVAS
• INDICAN REQUISITOS TÉCNICOS ESPECÍFICOS
• SON DE OBLIGATORIO CUMPLIMIENTO
• NECESITAN SER MODIFICADAS PERIODICAMENTE
DE LA INFORMACIÓN

PROCEDIMIENTOS
• DICTAN LOS PASOS OPERATIVOS ESPECÍFICOS
DE LA INFORMACIÓN

CONTROLES
• DISPOSITIVO REGULADOR DE UNA MÁQUINA,
SISTEMA O PROCESO
• CONFLICTOS DE INTERESES
DE LA INFORMACIÓN

Generación de claves de acceso.
Distribución de las claves.
Mecánica
Digital
Almacenamiento de claves.
Destrucción de las claves.

Aplicación de técnicas que nos permitirán generar y
almacenar claves de acceso.
0 1 2 3 4 5 6 7 8 9
r
rr
d
t
n
ñ
m C
k
L
ll
s
c
z
f
j
gu
ch
b
v
p

0,1,1,2,3,5,8,13,21,34…
SECUENCIA DE FIBONACCI

Chimenea con la secuencia de Fibonacci

CRIPTOSISTEMA
Todo sistema criptográfico, también denominado criptosistema, consta de cinco
componentes:
M, C, K, E y D
E Conjunto de todos los métodos de cifrado:
K Conjunto de las claves a utilizar,
C Conjunto de todos los mensajes cifrados,
M Conjunto de todos los mensajes a transmitir,
D El de todos los métodos de descifrado:

ATAQUES A UN CRIPTOSISTEMA
Clasificación:
A. Según la actitud del atacante
Ataques pasivos
En los ataques pasivos el atacante no altera la
comunicación, sólo la escucha o monitoriza, para
obtener información. Por tanto este tipo de ataques
suelen usar técnicas de escucha de paquetes(sniffing)
y de análisis de tráfico.
Son difíciles de detectar ya que no implican
alteración de los datos. En algunos casos
este tipo de ataques se pueden dificultar
cifrando la información posible objetivo de
escuchas.
El oponente intenta sólo obtener la información sin
intención de modificarla.
• Difíciles de detectar.
• Defensa: mecanismos de prevención, más que de

Clasificación:
A. Según la actitud del atacante
Ataques activos

Clasificación:
B. Según el conocimiento previo
El criptoanálisis puede realizarse bajo una
serie de supuestos sobre cuánto puede
observarse o descubrirse sobre el sistema
en cuestión antes de realizar el ataque.
Como un punto de comienzo básico se
supone que, para los propósitos del análisis,
el algoritmo general es conocido; ésta es la
Máxima de Shannon, "el enemigo conoce el
sistema". Éste es un supuesto razonable en
la práctica - a lo largo de la Historia, hay
incontables ejemplos de algoritmos
secretos que fueron conocidos mediante el

Ataque con sólo texto cifrado disponible: (Ciphertext-only attack) Esta es la situación
en la cual el atacante no conoce nada sobre el contenido del mensaje, y debe trabajar
solo desde el texto cifrado. En la práctica es muy probable hacer tantas conjeturas
acerca del texto plano, como cantidad de tipos de mensajes tengan un encabezado
similar.
Incluso las cartas y los documentos ordinarios comienzan de una manera muy
previsible. Por ejemplo, muchos ataques clásicos utilizan "análisis frecuencial" del
texto cifrado, sin embargo, no funciona bien contra los cifrados modernos.
Los criptosistemas modernos no son débiles contra ataques de "texto cifrado",
aunque algunas veces son considerados con el agregado de que el mensaje contiene
"tendencia" estática.
Ataque con sólo texto plano conocido: El atacante conoce o puede adivinar el texto
de alguna parte del texto cifrado. La tarea es desencriptar el resto del bloque cifrado
utilizando esta información. Esto puede ser hecho determinando la clave utilizada
para encriptar la información, o a través de algún atajo.
Uno de los mejores ataques modernos de texto plano conocido es el "criptoanálisis
lineal" contra cifradores de bloques.

Ataque con texto plano escogido (ataque con texto cifrado elegido):El atacante puede
tener cualquier texto encriptado con una llave desconocida. La tarea es determinar la
llave utilizada para encriptar.
Un buen ejemplo de este ataque es el "criptoanálisis diferencial" que puede ser
aplicado a cifradores de bloques y, en algunos casos, a funciones Hash.
Algunos criptosistemas, particularmente el RSA, son vulnerables a estos ataques.
Cuando tales algoritmos son utilizados, se debe tener cuidado en el diseño de la
aplicación (o protocolo) de forma tal que un atacante no pueda obtener el texto
encriptado.

Ataque de hombre en medio
Este ataque es relevante para las comunicaciones criptográficas y los protocolos de
intercambio de llaves. La idea es que cuando dos partes, A y B, están intercambiando
llaves por comunicaciones seguras (por ejemplo utilizando Diffie-Hellman), un
adversario (intruso) se posiciona entre A y B en la línea de comunicación. El intruso
intercepta las señales que A y B se envían, y ejecuta un intercambio de llaves entre A y
B. A y B terminaran utilizando llaves diferentes, cada una de las cuales es conocida por
el intruso. El intruso puede luego desencriptar cualquier comunicación de A con la
llave que comparte con A, y luego reenviarla a B encriptándola nuevamente con la llave
que comparte con B. Ambos A y B pensarán que se están comunicando en forma
segura pero de hecho el intruso está escuchando todo.
La forma habitual de prevenir este ataque es utilizar un sistema de clave pública capaz
de proveer firmas digitales. Por configuración, las partes deben conocer de antemano
la clave pública de cada una de ellas. Después de que han sido generadas, las partes se
envían firmas digitales. El hombre de por medio falla en el ataque a causa de que no es

Ataque adaptativo de texto plano escogido: como un ataque de texto plano escogido,
pero el atacante puede elegir textos planos subsiguientes basándose en la
información obtenida de los descifrados anteriormente. Similarmente, existe el ataque
adaptativo de texto cifrado escogido.
Ataque de clave relacionada: como un ataque de texto plano escogido, pero el
atacante puede obtener texto cifrado utilizando dos claves diferentes. Las claves
son desconocidas, pero la relación entre ambas es conocida; por ejemplo, dos
claves que difieren en un bit.

Clasificación:
C. Según el objetivo en criptoanálisis
Los resultados de un criptoanálisis también
pueden variar en utilidad. Por ejemplo, el
criptógrafo Lars Knudsen (Knudsen, 1998)
clasificó varios tipos de ataque sobre cifrados
por bloques de acuerdo con la cantidad y la
calidad de la información secreta que pudiera
ser descubierta:
Ruptura total - el atacante deduce la clave secreta.
Deducción global - el atacante descubre un algoritmo funcionalmente equivalente para el
cifrado y descifrado de mensajes, pero no obtiene la clave.
Deducción local (o de instancia) - el atacante descubre textos planos o cifrados
adicionales a los conocidos previamente.
Deducción de información - el atacante descubre alguna información en el sentido
de Shannon que no era conocida previamente.
Distinción del algoritmo - el atacante puede distinguir la información cifrada de una

GESTIÓN DE CLAVES
Políticas de Gestión de Claves
Conjunto de reglas que establecen el modo de generación, almacenamiento, distribución, borrado,
actualización, recuperación, protección y aplicación de claves en una red, en dicha política también
se establece quién es la persona o grupo de personas autorizadas a realizar cada una de estas
acciones.
Motivos por los que se debe establecer una política de gestión de claves:
Es necesario renovar las claves frecuentemente ya que una clave queda expuesta cada vez que se
usa.
 Se deben emplear claves diferentes para servicios diferentes (autenticación, transmisión,
almacenamiento, etc.) con el fin de minimizar la exposición de las claves.
 Deben asignarse claves diferentes a cada persona o grupo que acceden a una red, de tal
manera que sólo las personas autorizadas tengan acceso a determinada información.
 Las claves que por alguna razón se vuelven no seguras o aquellas que ya no son usadas por
algún usuario o grupo deben ser eliminadas del sistema para evitar comprometer la
información.

GENERACIÓN
Las claves pueden ser seleccionadas por el usuario o generadas automáticamente
con la ayuda de generadores de claves de los cuales se habla en la sección 3.3
(Generadores y Distribución de Claves) del presente capítulo.
Cuando una clave es generada por el usuario se deben tomar en cuenta las
siguientes buenas prácticas:
 Construirlas con letras mayúsculas, minúsculas, caracteres especiales y dígitos
 Evitar utilizar palabras de diccionario
 Longitud mínima de ocho dígitos
 No dejarlas en lugares visibles
 No contener información personal como fechas, nombres, gustos, etc.
 Fáciles de recordar pero difíciles de adivinar
 No divulgarlas

ALMACENAMIENTO
Se refiere a la ubicación que tendrán todas las claves de la red.
DISTRIBUCIÓN
Se refiere a la manera en que el emisor envía la clave al receptor de un determinado
mensaje para que pueda descifrarlo.
BORRADO
Se deben eliminar las claves que por alguna razón se consideren ya no son seguras o
que ya no estén en uso en el sistema, este proceso lo debe realizar el administrador de
la red.
ACTUALIZACIÓN
La actualización la puede realizar el propio usuario que por alguna razón decida
hacerlo, o bien la puede realizar el administrador de la red que con base en las
políticas deba actualizar las claves.

RECUPERACIÓN
Cuando un usuario se olvida de su contraseña y no existe alguna razón para
desecharla, es posible volver a proporcionar la misma clave al usuario para que
cumpla con su ciclo de vida, en la política de gestión de claves se debe contemplar
este caso y establecer a detalle bajo qué condiciones una clave es recuperada.
PROTECCIÓN
Es recomendable cifrar las claves antes de ser almacenadas para que en caso de
una violación al acceso de dichas claves no represente un riesgo en la
confidencialidad en las mismas, en la política de gestión de claves se debe
establecer el algoritmo para cifrarlas así como las claves utilizadas.
APLICACIÓN
Se refiere a la utilidad que tendrá cada una de las claves generadas.

Tipos de Claves
CLAVE ESTRUCTURAL
A cada nivel de privilegios en la red le es asignada una clave estructural evitando así
la comunicación entre entidades con distintos privilegios. La clave estructural es
implementada en hardware o en memoria ROM o similar.
CLAVE MAESTRA
Es generada aleatoriamente ya sea de forma manual o con un generador automático
de claves, puede ser modificada por el usuario (el administrador de seguridad
informática) y se usa para cifrar únicamente claves secundarias.
Un módulo de seguridad es un circuito integrado o bien una tarjeta chip en donde
se almacena la clave maestra, el algoritmo de cifrado y descifrado y en ocasiones
claves de rango menor a la maestra lo cual resulta poco aconsejable ya que resulta
ser muy caro. Este módulo debe ser resguardado en un lugar seguro (físico) de la
Clave común que pueden tener todos los equipos de una red y no puede ser
modificada por el usuario. Sirve para aislar los diferentes niveles de secreto que hay
en una red.

CLAVE PRIMARIA
Clave generada con la clave maestra que puede ser almacenada en una memoria
no tan protegida como el módulo de seguridad, generalmente es utilizada para
acceder a los sistemas o servicios.
CLAVE DE GENERACIÓN
Es una clave primaria utilizada para generar claves de sesión o claves de
archivos con la finalidad de protegerlas en la transmisión y almacenamiento.
CLAVE DE SESIÓN O DE MENSAJE
Clave creada con una clave de generación, utilizada para iniciar una sesión o
bien para cifrar los datos intercambiados entre dos entidades durante su
conexión, una vez terminada la sesión la clave se destruye.
CLAVE DE CIFRADO DE ARCHIVOS
Clave cifrada con una clave de generación, su finalidad es cifrar archivos. Es
utilizada únicamente en el cifrado de un archivo y después se destruye.

Generadores y distribución de claves
Las claves pueden ser creadas por el usuario o generadas automáticamente con la
ayuda de generadores de claves los cuales se clasifican en dos tipos:
Generadores aleatorios:
para generar secuencias cifrantes utilizan datos provenientes de ruido físico aleatorio
(ruido de un micrófono, ruido térmico en un semiconductor, etc.) o bien provenientes
del estado de una computadora (interrupciones, posición del ratón, actividad en la
red, uso del teclado, etc.). Es conveniente combinar varias técnicas para que la
secuencia resultante sea imposible de predecir. Este tipo de generadores se utilizan
para generar claves cortas.
Introducción:

Generadores pseudoaleatorios:
Este tipo de cifradores no son totalmente aleatorios ya que para generar una secuencia
obedecen a algún algoritmo o cierto procedimiento repetitivo.
La distribución de claves se refiere a los medios utilizados para distribuir una clave a
dos entidades que quieran intercambiar datos. La distribución de claves es un tema
primordial en un sistema de cifrado ya que de ello depende que las claves sólo sean
conocidas por las entidades indicadas y así el método de cifrado sea efectivo.
Técnicas de Distribución de Claves:
Distribución manual
Distribución basada en centro
Distribución basada en certificado

Técnicas de distribución de claves:
Distribución manual
El envío de la clave no es por la línea de comunicación por la cual se mandan los
mensajes cifrados, sino que se utilizan otros métodos, por ejemplo:
Realizando la suma módulo dos de varias claves enviadas por distintos medios por
ejemplo: carta certificada + vía telefónica + fax.
Utilizando un inyector de claves; éste es un pequeño aparato en donde se almacena
una clave la cual puede ser transferida una o más veces a un equipo, tiene un contador
que registra el número de veces que la clave es transferida por lo que se puede
controlar el número de instalaciones de la clave en otros equipos, el inyector debe ser
trasportado por medio de una tercera entidad de gran confianza y de preferencia que
no sea experto en el tema.

Técnicas de distribución de claves:
Distribución basada en centro
Las dos entidades interesadas en
intercambiar datos tienen una
conexión cifrada con una tercera
entidad de confianza, esta tercera
entidad es la encargada de entregar la
clave a través de los enlaces cifrados a
las otras dos entidades.

El modelo PULL requiere que el emisor A
obtenga la clave de sesión del KDC, antes de
comunicarse con B.
1) A solicita una clave de sesión al KDC.
2) El KDC envía a A la clave de sesión que
utilizará para comunicarse con B y un
paquete cifrado para que A lo entregue a B,
dicho paquete está cifrado con la clave que
sólo conocen B y el KDC y contiene la clave
de sesión con la que B se comunicará con A
así como un identificador de A.
3) A envía a B el paquete que le envío el KDC
para B.
Modelo PULL

Modelo PUSH
El modelo PUSH requiere que A primero
contacte a B y después B debe obtener la clave
de sesión del KDC.
1) A se comunica con B y le hace saber que
requiere establecer una sesión.
2) B solicita una clave de sesión al KDC.
3) El KDC envía a B la clave de sesión que
utilizará para comunicarse con A y un
paquete cifrado para que B lo entregue a A,
dicho paquete está cifrado con la clave que
sólo conocen A y el KDC y contiene la clave
de sesión con la que A se comunicará con B
así como un identificador de B.

Modelo Mixto
El modelo mixto es la combinación
del modelo PULL y el PUSH.
1) A se comunica con B y le hace
saber que requiere establecer
una sesión.
2) A y B solicitan una clave de
sesión al KDC.
3) El KDC envía a A y B la clave de
sesión que utilizarán para
comunicarse.

Centro de distribución de claves (KDC — Key
Distribution Center):
verifica qué equipos tienen permiso de
comunicarse con otros, cuando la conexión
está permitida el KDC se encarga de dar una
clave de sesión para dicha conexión. El KDC
puede ser una entidad centralizada en la red o
ser un servicio distribuido en varios nodos.
Un centro de traducción de claves (KTC — Key
Translation Center) está formado por el KDC y
las entidades que desean establecer una
sesión.

REDES DE DATOS
Red Centralizada: hay una colección de equipos terminales conectados a un equipo
central, y las comunicaciones se producen entre el central y los terminales. Este tipo de
red contiene diferente tipo de claves dependiendo si utiliza criptografía de clave
simétrica o asimétrica.Red horizontal: es una red de igual a igual en la que los terminales hablan directamente
entre sí. Si se dispone de este tipo de red con N terminales, la solución dependería tipo
de clave que utilice ( simétrica o asimétrica).
Red horizontal con servidor de claves: es igual que la anterior pero previamente al
establecimiento de una comunicación se debe comunicar con un servidor de claves.
Almacenan un número reducido de claves cifradas correspondientes a los usuarios más
habituales. Cada vez que se requiera establecer una comunicación con un terminal, será
preciso hacer una consulta previa con el servidor de claves. La ventaja es que el servidor
sólo necesita mantener un archivo de N claves.
·
Red Horizontal Simplificada: En el caso de una red con pocos terminales y con
requerimientos de seguridad modestos, se puede dotar a todos los terminales con una
única e idéntica clave simétrica maestra. Esta clave se genera al azar, se transmite y es
eliminada una vez finalizada la comunicación.

MODERNOS
SIMETRICO ASIMETRICO
SISTEMAS CRIPTOGRÁFICOS

ALGORITMOS CRIPTOGRÁFICOS
 DES
 RC2
 IDEA
 AES
 RC4
 3DES

DES Data Encryption Standard
 La NSA le hizo algunas modificaciones
 Utiliza claves de 56 bits
 En la actualidad es considerado un algoritmo
inseguro
 Diseñado por IBM en los años 70

3DES Data Encryption Estándar
 La mayoría de las tarjetas de crédito utilizan
este algoritmo mejorado
 Utiliza claves de 56 bits
 Desarrollado para mejorar la versión DES

IDEA
 Subsiste en algunos programas
 Se le han encontrado debilidades
International Data Encryption Algorithm
 Usa clave de 128 bits

RC2
 Existen versiones mejoradas, sin embargo
se usa cada vez menos
 Su código fuente es secreto comercial
 Cifrado de bloque con una longitud de
clave de 64 bits

RC4
 Se usa en los protocolos SSL (para proteger el tráfico de
Internet) y Wired Equivalent Privacy (WEP) (para añadir
seguridad en las redes inalámbricas).
 Fue excluido enseguida de los estándares de alta
seguridad por los criptógrafos
 La versión exportable tiene claves solamente de 40 bits

AES
Advanced Encryption Standard
• Flexibilidad, fácilmente implementable en software o
hardware, simplicidad del algoritmo.
• El tamaño de la clave y del bloque de datos
puede ser de 128, 192 y 256 bits.
• Resistencia a criptoanálisis, con grandes fundamentos de
matemáticas, aleatoriedad de la salida, etc.

Software de encripción de sistema simétrico que
puede correr en Win 98/ME/NT/2k/XP./VISTA/Win7
Utiliza el algoritmo AES de 128 Bits.
Cifrador, compresor y lanzador de aplicaciones para
el almacenamiento seguro de archivos locales, en
servidores o alojamiento web.

El máximo de archivos que puede encriptar, está
en función al espacio disponible en disco duro.
Permite crear ficheros llave fortalecer la
seguridad.
Puede ser utilizado para transmisiones por correo
electrónico.

No requiere que el destinatario tenga instalado el
programa AxCrypt para enviar mensajes
encriptados.

CRIPTOSISTEMA DE CLAVE PÚBLICA
Es el método criptográfico que usa un par de claves para el envío de mensajes.
Las dos claves pertenecen a la misma persona que ha enviado el mensaje.
Si el remitente usa la clave pública del destinatario para cifrar el mensaje, una
vez cifrado, sólo la clave privada del destinatario podrá descifrar este mensaje,
ya que es el único que la conoce. Por tanto se logra la confidencialidad del
envío del mensaje, nadie salvo el destinatario puede descifrarlo.
Una clave es pública y se puede entregar a cualquier persona, la otra clave
es privada y el propietario debe guardarla de modo que nadie tenga acceso a
ella. Además, los métodos criptográficos garantizan que esa pareja de claves
sólo se puede generar una vez, de modo que se puede asumir que no es
posible que dos personas hayan obtenido casualmente la misma pareja de
claves.
CIFRADO CON CLAVE PÚBLICA DEL RECEPTOR

CRIPTOSISTEMA DE CLAVE PÚBLICA
CIFRADO CON CLAVE PRIVADA DEL EMISOR
Si el propietario del par de claves usa su clave privada para cifrar el mensaje,
cualquiera puede descifrarlo utilizando su clave pública. En este caso se
consigue por tanto la identificación y autentificación del remitente, ya que se
sabe que sólo pudo haber sido él quien empleó su clave privada (salvo que
alguien se la hubiese podido robar). Esta idea es el fundamento de la firma
electrónica.

Supongamos que Ana quiere enviar un mensaje a Belén. Lo que hace es lo siguiente:-
SISTEMA HÍBRIDO
- Cifra la clave simétrica con la clave pública de Belén. El resultado es Ckp(K)
- Envía a Belén dos cosas: el mensaje (cifrado con la clave simétrica K) y la clave
simétrica K cifrada con la clave pública de Belén.
- Crea una clave simétrica K y cifra el mensaje con dicha clave. Sea Ck(M) el resultado
Cuando Belén recibe el "paquete", procede a la inversa:
- Toma Ckp(K) y lo descifra usando su clave privada. El resultado es K
- Usa K para descifrar el mensaje Ck(M). El resultado es M
Es decir, la clave pública se usa para cifrar; pero lo que se cifra no es el mensaje, sino la clave
simétrica con que va cifrado el mensaje. De ese modo hacemos llegar al destinatario la clave K, y
podemos hacerlo por medios inseguros de transmisión. Poco nos importa que Fausto esté la
acecho, porque no puede descifrar el mensaje sin conocer K ... y no puede conocer K si no tiene
la clave privada. Es decir, hemos combinado un criptosistema de clave simétrica (para

Mailvelope es un programa basado en OpenPGP, una biblioteca de código abierto
para JavaSript que utiliza una combinación de cifrado de clave pública y simétrica.
En otras palabras, es muy seguro. Ya de por sí, PGP, en el que se basa, es un
software que da un paso más en el método tradicional de cifrado y descifrado, en
el que un mensaje se encripta, y tanto el emisor como el receptor comparten una
clave (procurando que sea por métodos seguros), que permita el desencriptado. Es
lo que se conoce como sistema simétrico. El sistema público, que incluye
Mailvelope, tiene además una clave privada. La clave pública está disponible para
que cualquiera pueda cifrar los correos que quiera enviarte, y la parte privada sólo
la conoces tú, que es con la que lo descifras.

1. Instalar Mailvelope en Chrome.
2. Configurar Mailvelope desde el navegador.
Mailvelope es muy simple de usar, es un plugin de Chrome que se instala en un
minuto y hace obsoletas tus excusas para no empezar a usarlo ya mismo. Estos son
los pasos:
CÓMO INSTALAR Y CONFIGURAR MAILVELOPE

FORMATO DE LOS MENSAJES
Las claves públicas y privadas, así como los mensajes cifrados en OpenPGP, están
codificados en un determinado formato de texto que les permite ser intercambiados o
almacenados como archivos de texto.
Por ejemplo, una clave pública se vería así

Seguridad de la información: criptografía y protección de datos

Seguridad de la información: criptografía y protección de datos

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to Seguridad de la información: criptografía y protección de datos

Similar to Seguridad de la información: criptografía y protección de datos (20)

More from Hacking Bolivia

More from Hacking Bolivia (20)

Recently uploaded

Recently uploaded (20)

Seguridad de la información: criptografía y protección de datos