Haciendo Negocios con Seguridad en un Mundo Inseguro

por Randy Bush

Qué mejoras reales en seguridad hemos alcanzado? Ciertamente, la red no es un lugar seguro con el phishing, ataques DDos, ataques HTML cross-site script , etc.
Pero, aunque estos son por cierto serios problemas, no debemos ignorar dónde hemos tenido éxitos y aprender algunas lecciones de esos éxitos.

 

 

La Red es un Lugar Peligroso, pero Podemos Hacer Cosas en Forma Segura.

Veinte años atrás, se consideraba descortés tener una máquina UNIX en la red que no ofreciera una cuenta sin contraseña con el nombre “guest” de manera que cualquiera que pasara por allí pudiera usarla. La gente con menos de diez años de experiencia no me cree cuando les digo esto.

Los tiempos sin duda han cambiado. La red es un lugar mucho menos seguro. En un ambiente donde los ataques ocurren permanentemente, donde las vulnerabilidades de los sistemas operativos y aplicaciones son descubiertos a diario, donde bot-nets de 100,000 zombies atacan, aún realizamos transacciones financieras y otras transacciones privadas del valor de billones de dólares.

¿Cómo es esto? Básicamente, hemos desplegado herramientas y protocolos que permiten transacciones seguras en un mundo inseguro. Esta es una filosofía similar a aquélla en la que hemos construido un sistema de redes confiable desde un grupo de componentes no confiables; los circuitos fallan, los equipos tienen errores, etc. Pero los paquetes viajan en torno de las fallas. ¿Cuáles son los protocolos/herramientas exitosos?

 

Secure Sockets Layer / Transport Layer Security (SSL/TLS)

Uno no consideraría enviar datos de la tarjeta de crédito u otro tipo de datos personales a través de un enlace no encriptado. La navegación encriptada y por lo general autenticada como por ejemplo https contrariamente a http, es la base en la cual está fundado casi todo el comercio por Internet. Aún cuando la transacción no esté usando un navegador, TLS, el nuevo nombre para SSL (para que el IVTF pueda hacer una “contribución”), es usado por debajo de la mayoría de los intercambios cliente/servidor.

 

SSH

¿Puede imaginarse hoy conectarse a un sistema remoto  utilizando Telnet? La resultante exposición a ataques, intercepción de contraseñas, etc. ha hecho de telnet una cosa del pasado distante, junto con rsh, rcp, etc.

El protocolo SSH y  y sus herramientas, en particular SSHv2, dominan ahora este nicho.

 

IPSec

La tecnología VPN permite transacciones de negocios seguras con sucursales, vendedores confiables, empleados que viajan, trabajadores a distancia conectados a la oficina por un computador, etc.

IPSec en particular, brinda no solamente canales privados en apariencia, sino que encripta el pasaje de datos sobre esos canales, cosa que no hacen MPLS, ATM, etc.

Los emuladores de circuitos como el MPLS y ATM son vulnerables a golpes, además de ser toopológicamente frágiles; son VNs, no VPNs.

 

Pretty Good Privacy (PGP)

PGP nos permite intercambiar email firmado y fuertemente encriptado donde el contenido es no repudiable, es decir, el remitente no puede aducir que no lo envió. PGP puede ser usado también para encriptar archivos en el disco duro de uno.
Esta herramienta gratuita es tan poderosa, que el gobierno de los Estados Unidos trató de suprimir su exportación mas aún que en sus esfuerzos normales.

Vale la pena también notar que la confianza en PGP es no-jerárquica; es decir, no existe una autoridad central. Las entidades PGP certifican sus identidades mutuamente en una “red de confianza”, contrariamente a una jerarquía. O sea, está descentralizado e inmune al comprometimiento de la raíz  de ‘trust anchors,’ etc.

 

X.509

Los certificados X.509 y la infraestructura de claves pública que los soporta, son usadas en autenticación de browsers.  El problema aquí es, que como son totalmente jerárquicas, son tan confiables como la Autoridad Certificadora (CA) que los emite; y las autoridades certificadoras (CAs) comerciales tienen muy poco incentivo financiero para validar realmente la identidad. Han habido conocidos comprometimientos de la jerarquía de certificados X.509

El uso de certificados X.509 para certificar la posesión de Espacio de Direcciones IP comenzará a usarse en los RIRs y los ISPs en 2008.

 

S/MIME

Existe un segundo método de firma de email, mucho menos usado, que es utilizado hasta cierto punto en el mundo corporativo. Su función es similar a la del PGP, pero depende de una jerarquía de certificados X.509

 

Resumen

Existen kits de herramientas open source y gratuitas para todo lo arriba mencionado.  Están incorporadas en browsers, paquetes de email, etc.

Esto no es lo mismo que decir que no hay problemas de seguridad en la Internet. Ciertamente:

• SPAM,
• DDoS,
• El DDoS de Estonia
• El ataque a los root DNS del 7 de febrero de 2007,
• etc.

son todos problemas muy reales y serios. Pero, gracias a los buenos amigos que nos dieran los protocolos y herramientas listadas arriba y las aplicaciones que las usan, podemos caminar seguros por una ciudad insegura.

Nuevamente, al construir una Internet confiable a partir de componentes no confiables, podemos construir aplicaciones seguras y servicios que funcionan bien en el altamente inseguro ambiente de hoy. Esta es una gran victoria.

 

 

---

Boletín periódico de LACNIC
Registro de Direcciones de Internet para América Latina y el Caribe

Año 2 / Número 5 / Setiembre 2007

Editor responsable: Raúl Echeberría