Criptografía:

consiste en escribir con una clave secreta, para proteger datos. Permite enviar mensajes en clave secreta a través de la red.

Cifrar:

proteger datos modificándolos usando una clave.

Aplicaciones de la criptografía:

– Identificación y autenticación:

 identificar un individuo o validar el acceso al servidor.

– Certificación

Esquema con el que agentes conocidos validan la identidad de agentes desconocidos.

Seguridad de las comunicaciones

Para establecer canales seguros para aplicaciones que operan en redes no seguras.

Comercio electrónico

Usar canales seguros y mecanismos de identificación asegura que las operaciones de los usuarios y empresas no se modificarán o espiarán.

Carácterísticas de los servicios de seguridad

Confidencialidad:

asegurar que solo los usuarios autorizados puedan ver la comunicación y entender los mensajes.

Integridad

Asegurar que el mensaje no se modifique por terceros durante la comunicación. 

Autenticación

Asegurar el origen, la autoría y propiedad de los datos. 

No repudio

Asegurar que el emisor no pueda negar haber enviado el mensaje.

Estructura de un sistema secreto

-Clave:

parámetro que especifica una transformación con la función de cifrado/descifrado.

Criterios de Shannon

Los cifrados se han de desarrollar en base a:

–

Confusión

Distribuir las propiedades de los elementos del mensaje en el texto cifrado.
–

Difusión

Usar algoritmos de cifrado para complicar el descifrado el mensaje.

Carácterísticas que debería tener una función de cifrado:

1- Las claves deben ser simples y fáciles de crear.
2- La longitud del texto cifrado no debe ser mayor que la del texto descifrado.
3- Los errores de transmisión no deben provocar ambigüedad.
4- El análisis estadístico del texto cifrado debe ser costoso para que no sea rentable realizarlo.

5- Una vez conocida la clave de un sistema secreto deben ser simples y se debe destruir la estructura del mensaje para complicar el análisis estadístico.
La seguridad depende del algoritmo de cifrado y de lo secreta que sea la clave. Si se pierde una clave o es fácil de adivinar el sistema está en peligro. Hay que saber elegir una clave y establecer métodos para protegerla.

Tipos de claves:

–

Simétrica (modelo de clave privada):

la clave de cifrado y descifrado son la misma.
–

Asimétrica (modelo de clave pública):

la clave de cifrado y descifrado no son la misma y están relacionadas.

Programación de cifrado

Java ofrece herramientas para controlar claves y mecanismos de cifrado. Elementos para el cifrado:
–

Interfaz Key(opaca)

Representa claves para cifrar y descifrar. Se implementa en clases que representan claves y tiene tres partes:

Forma codificada:

representa la clave

Formato

Forma en la que está codificada la clave

Algoritmo:

nombre d ela función de cifrado o descufrado.

Interfaz KeySpec(Transparente)

Representa claves con acceso a sus elementos, para distribuirlas. Implementa claves que se guardan sin acceso a sus elementos.
–

Interfaz Cipher

Generador y Factorías de claves

-Generadores de claves:

 se usa para crear claves nuevas.

-Factorías de claves:

se usa para obtener claves transparentes a partir de claves opacas y viceversa.

Clase Cipher

Los objetos de la clase Cipher representan funciones de cifrado o descifrado. Se crean definiendo el algoritmo a usar. Se pueden configurar para realizar operaciones de cifrado y descifrado, definiendo la clave necesaria.

Modelo de clave privada

Emisor y receptor reciben y usan la misma clave.

Ventaja

Ofrece buen rendimiento.

Desventajas/Problemas:

-La forma en que emisor y receptor obtienen la clave
– Se deben usar claves diferentes para comunicarse con cada receptor.
– Cuantos más mensajes se cifren con la clave, más expuesta estará a un análisis estadístico.

Algoritmos de cifrado simétrico

-DES:

estándar para comunicaciones que cifra texto de longitud fija como texto cifrado de la misma longitud. Tiene una clave para modificar las trasformaciones. Fases:
      1- Permutacióninicial: para dar confusión y difusión al algoritmo.
      2- Sustitución con cajas-S que comprimen, permutan y sustituyen los datos.
      3- Permutación final inversa a la inicial.

-AES (sustituye a DES):

estándar de cifrado rápido y fácil de implementar, que se desarrolló de forma pública, con un sistema de cifrado por bloques. Gestiona la longitud de claves y bloques variables.

Programación de cifrado simétrico

– Clase KeyGenerator

Para generar claves simétricas.

– Interfaz SecretKey

Representa claves simétricas opacas e implementa la interfaz Key.

– Clase SecretKeySpec

Representa claves simétricas de forma transparente e implementa la interfaz KeySpec.

– Clase SecretKeyFactory

Se usa como clase de factoría de claves basadas en la interfaz SecretKey.

Funciones hash

Algoritmo matemático que resumen un mensaje en una cantidad de datos fija y menor. Permite ofrecer pruebas de integridad de la transferencia de datos (MAC). Requisitos:
– Cálculo rápido.
– La clave debe ser difícil de adivinar.
– El resumen debe tener una longitud fija.
– La descripción de la función de descifrado debe ser pública.
– Resistente a colisiones: no habrá solo un valor cifrado de un mensaje.
– Función de un solo sentido: no se debe poder producir un documento con sentido que lleve al hash a partir de los valores cifrados.
Se usan para identificar archivos independientemente de su nombre o ubicación. Por eso se aplican a los datos y estos se guardan en la posición definida por la función, permitiendo aplicarlas otra vez a los datos y acceder a la posición indicada.
También permiten comprobar si un archivo se ha descargado correctamente de Internet.

Programación con la función hash

En Java se usa la clase MessageDigest. Para generar una clave hash:
1- Obtener una instancia de la clase MessageDigest.
2- Introducir los datos en la instancia.
3- Computar el resumen.

Modelo de clave pública

Se usa para evitar el problema de la distribución de claves entre emisor y receptor. Se basa en conocer las claves públicas de los usuarios. Hay dos claves diferentes:

– Privada:

solo la sabe el usuario.

– Pública

Publicada para todos.

Están relacionadas por una función de sentido único.

Debe ser difícil calcular una clave a partir de la otra.

Es un sistema asimétrico, ya que se usan claves diferentes para cifrar y descifrar:

– Para enviar un mensaje, se busca la clave pública del receptor y se cifra con la clave.

– Solo se puede desencriptar con la clave privada del receptor.

Algoritmo RSA

 Algoritmo asimétrico de cifrado por bloques que usa:

– Una clave pública, publicada para todos.

– Una clave privada, solo la sabe el propietario.

– La relación entre estas se basa en el producto de dos números grandes aleatorios.

Programación de cifrado asimétrico

Interfaz PublicKey

Implementa la interfaz Key y permite representar claves públicas.

Interfaz PrivateKey

Implementa la interfaz Key y permite representar claves privadas.

Clase KeyPairGenerator

Permite generar pares de claves.

Clase KeyPair:
Sus objetos permiten guardar pares de claves.

Clase KeyFactory

Factoría de claves.

Modelo híbrido

Los sistemas de clave pública son más costosos que los de clave privada, por eso se unen:

– Los mensajes se codifican con algoritmos simétrico y una clave simétrica para mejorar la velocidad al transmitir datos.

-La clave se genera aleatoriamente.

– Se usan sistemas de clave pública para codificar y enviar la clave simétrica.

– Los mensajes enviados y recibidos durante la sesíón se cifran con la clave simétrica.

Firma digital

Asocia la identidad del emisor al mensaje a enviar a la vez que se comprueba su integridad,

aplicando una función hash y usando un sistema de clave pública para codificar y firmar el resumen obtenido al autenticar el mensaje.

Programación de firma digital

La biblioteca Java tiene la clase Signature para firmar digitalmente:

– Se necesita un par de claves.

– Permite verificar firmas digitales.

– Se usa de forma parecida al cálculo de funciones hash.

Certificado digital:

Documento firmado digitalmente, que confirma la identidad, vinculando la clave pública. Permite:

– Cifrar datos para que solo el receptor pueda acceder al contenido.

– Firmar digitalmente.

– A usuarios y servidores identificarse, autenticados por una autoridad de certificación.

Servicios seguros en red

– Si al acceder a una página la URL empieza por HTTPS, significa que se usa un protocolo de criptografía para acceder a su contenido de forma confidencial.

– Son seguros, ya que usan un modelo de clave mixta (clave simétrica para establecer sesíón y cifrado simétrico para las comunicaciones.

– Estas comunicaciones usan protocolos SSL o TSL en Internet.

SSL y TLS:

Ofrecen una interfaz de programación basada en sockets stream y añaden estos aspectos de seguridad:

– Uso de criptografía asimétrica para intercambiar claves de sesíón.

– Uso de criptografía simétrica para asegurar la confidencialidad de la sesíón.

– Uso de códigos de autenticación de mensajes para asegurar la integridad.

Aseguran el establecimiento y mantenimiento de una sesíón segura:

– La identidad del servidor está asegurada (autenticación) con un certificado de servidor y el cifrado simétrico.

– La privacidad de las comunicaciones está asegurada (confidencialidad) con una clave de sesíón simétrica.

– Los mensajes no se pueden alterar (integritat), ya que se realiza un cálculo de resúmen.

Programación con sockets seguros

– SSLSocketFactory:

clase que genera objetos SSLSocket.

– SSLServerSocketFactory:

clase que genera objetos SSLServerSocket.

– SSLSocket:

clase parecida a Socket, pero con SSL. Permite representar sockets stream cliente seguros.

– SSLServerSocket:

clase parecida a ServerSocket, pero con SSL. Permite representar sockets stream servidor seguros.

Se debe asegurar la seguridad de los recursos externos a los que accede una aplicación.

Autoridades de certificación:

Entidad de confianza, que emite o anula certificados digitales en la criptografía de clave pública. Su firma asegura:

– Que el certificado viene de la autoridad de certificación.

– Que el nombre corresponde a quién dice ser.

– La relación de obligación entre nombre y clave pública.

Control de acceso:

 Conjunto de mecanismos que gestionan estos aspectos de seguridad. Se basa en la autenticación de usuarios y sus políticas de seguridad. Es responsabilidad del SO. Aspectos que se gestionan con el control de acceso:

– Operaciones sobre archivos y directorios.

– Acceso a dispositivos hardware.

– Operaciones de administración del sistema (crear usuarios, instalar programa…).

– Servicios del Sistema (comunicaciones en red, almacenamiento de datos…)

Etiquetas: Cifrado literatura, Clase seguridad, Claves, Criptografía, Debilidad algoritmo RSA