Transcript Principios básicos sobre PKI

I. Principios básicos sobre PKI
Temática
1. Seguridad
2. ¿Por qué necesitamos seguridad?
3. ¿Puede la criptografía ayudarnos?
4. Certificados – Certificación
5. Roles en la operación de PKI
6. Interoperabilidad
7. ¿Qué es PKI?
Seguridad
1. Un error común es:
sistemas son seguros o no son seguros.
2. Sin embargo, en el mundo real,
hay sistemas más seguros y menos seguros,
pero la seguridad perfecta es inalcanzable.
3. Surge la necesidad de encontrar
procedimientos técnicos y legales que
aseguren la confiabilidad de los documentos
electrónicos.
¿Por qué necesitamos seguridad?
•
E
Database
Server
Applicati
on
Server
Service Provider (SP)
•
•
•
MIDP
Client
internet
Telco
(Tel.
company)
Application
Client
Esta es la arquitectura general de un sistema de teléfono en la banca.
El banco hace el papel de proveedor de servicios (SP), y
El usuario del teléfono público (corto para el usuario) necesita una plataforma
de lanzamiento de su teléfono móvil para comunicarse con el servidor de
aplicaciones situado en el banco.
¿Por qué necesitamos seguridad?
1.
2.
3.
La aplicación proporciona un
servicio basado en
suscripción.
Los usuarios pueden
suscribirse ingresando un
nombre de usuario y PSSWD
en el dispositivo móvil.
Los usuarios necesitan
alguna manera de probar su
identidad en el servidor por
lo que su información de
suscripción se puede
verificar en la base de datos.
Llamada: Autenticación
El sistema debe garantizar la
confidencialidad, lo que
significa que la información
privada se mantiene
privado.
Un sistema seguro proporciona funciones
de PAIN:
P = privacidad (confidencialidad)
A = Autenticación
I = Integridad
N = No repudio
¿Por qué necesitamos seguridad?
internet
Application
Server
Service Provider (SP)
MIDP
Client
Application
Client
Telco (Tel. company)
Un espía con un analizador de paquetes puede
interceptar el tráfico de datos en cualquier punto
de la ruta de acceso a Internet entre el dispositivo
y el servidor.
Un espía con un receptor de radio puede
interceptar el tráfico de datos entre un teléfono
móvil y una torre de celular local.
Un atacante puede entrar en el servidor o base de datos, robar
información o destruir el software de servidor.
Los ataques más elaborados son posibles,
que van desde la suplantación de identidad del servidor (creación de una máquina para lucir y actuar como el
servidor)
a la ingeniería social (pidiendo a los usuarios de las contraseñas o números de tarjetas de crédito con el pretexto de
prestar apoyo técnico).
El dispositivo cliente puede ser robado.
¿Puede la criptografía ayudarnos?
MIDP
Client
internet
Application
Server
Service Provider (SP)
Application
Client
Telco (Tel. company)
¿Qué es criptografía?
(Entrada de texto):
[María tiene un corderito]
Encriptar:
es una función
con una clave
determinada,
que puede calcular la
entrada de
texto en un texto cifrado.
Desencriptar:
es una función inversa
de la codificación
predefinidos,
y con la tecla.
Texto encriptado：
[bmtalhelittsiliassahayrkamey]
¿Puede la criptografía ayudarnos?
¿Qué es criptografía?
Encripción:
(Entrada de texto):
[María tiene un corderito]
Clave: (Esta es una clave)
Paso 1. Invertir la entrada
de texto
[Bmal elttil un sah Yram]
Paso 2. Poner en clave
entre los
caracteres de la entrada
de texto
Texto encriptado：
[bmtalhelittsiliassahayrkamey]
[bmTalhelittsiliassahayrkaMey]
¿Puede la criptografía ayudarnos?
•Un sistema de cifrado es un algoritmo útil
para mantener los datos confidenciales.
•Se puede traducir entre periódica de
datos, llamado texto plano ,
y de forma encriptada de los datos,
llamada texto cifrado.
• Hay dos tipos de sistemas de cifrado, simétrica y asimétrica.
• Un algoritmo de cifrado simétrico utiliza una única clave para el
cifrado y descifrado.
"Puntos débiles":
• Sistemas de cifrado simétrico puede ser complicado debido a que
tanto las personas que utilizan el sistema de cifrado debe tener la
misma clave.
• Una persona puede generar la clave, pero debe ser transmitida con
seguridad a la otra persona.
¿Puede la criptografía ayudarnos?
1. sistemas de cifrado asimétricos
utilizan un par de claves, dos claves
que están relacionados entre sí.
2.Se trata de una clave pública, la otra
es una clave privada.
3. La clave pública puede ser distribuido
libremente sin comprometer la
seguridad, la clave privada debe
mantenerse privada.
Imagínese cómo teclas pares podría funcionar
en la práctica:
Alguien que quiera enviar un mensaje secreto
puede cifrar utilizando la clave pública y enviar
el texto cifrado para usted.
Tú eres la única persona que puede descifrar el
texto cifrado con su clave privada en su
ordenador o tarjeta de IC-, si usted mantenga
siempre la clave privada en forma segura.
Clave
Los datos cifrados
con una clave
se puede descifrar
con la otra llave.
Certificación y PKI
Un sistema seguro debería de proveer las siguientes funciones
 P = Privacidad
 A = Autenticación
 I = Integridad
Se puede lograr aplicando
Cifrado Asimétrico
 N = No repudio
Porque:
Si hay algún poco de pérdida en la
transmisión, el receptor no puede
descifrarel msg con la tecla
correspondiente.
Certificación y PKI
Un certificado criptográfico ofrece una solución
•Un certificado es un contenedor de una
clave pública.
•Es un documento electrónico que dice algo
así como "Violeta certifica que la clave
pública de Pablo tiene este valor".
•El certificado incluiría información sobre
Violeta, la información sobre Pablo, y el valor
de la clave pública de Pablo.
•Todo esto sería firmado por Violeta.
•El certificado permite la extensión de la
confianza.
•Por lo tanto, si conoce la clave pública de
Violeta, y si usted piensa que ella es
confiable y un buen juez del carácter, y
si usted puede verificar la firma del
certificado, entonces usted puede estar
bastante seguro de que la clave pública de
Pablo tiene el valor que figura en el
certificado.
• A solution:
¿Cómo encontrar la clave pública de alguien?
¿Dónde guarda su clave privada?
Supongamos que alguien que no conoces,
Pablo, le envía un mensaje con una firma.
Usted necesita obtener su clave pública para
verificar la firma.
¿Cómo conseguirlo?
¿Cómo sabes que tienes verdadera clave
pública de Pablo y no una falsificación?
Certificación y PKI
Certficado del Rey.
Autofirmado
Confías en el Rey de Inglaterra?
Confío en Henry, pero cómo sé que su
certificado es confiable??
Certficado de Henry
firmado por el Rey
de Inglaterra
Certificado de Violeta
firmado por Henry
Certificado de Pablo
firmado por Violeta
Realmente hemos cambiado sólo el
problema, sin embargo.
Bien, la clave pública de Violet verifica la
clave pública de Pablo,
pero que verifica la suya, y
¿cómo conseguirlo?
¿Dónde está el final de la cadena?
Yo confío en Violeta pero
cómo se que su
certificado es confiable??
Podría confiar en Violet??
Cómo podría confiar en el certificado de Pablo
Certificación y PKI
Certficado del Rey.
Autofirmado
Confío en Henry, pero cómo sé que su
certificado es confiable??
Certficado de Henry
firmado por el Rey
de Inglaterra
Certificado de Violeta
firmado por Henry
Certificado de Pablo
firmado por Violeta
Este tipo de certificado que se llama
un certificado
raíz.
Confías en el Rey de Inglaterra?
Las empresas o instituciones que los
utilizan para firmar otros certificados
se denominan entidades emisoras de
certificados (CA).
Entidades emisoras de certificados
raíz de generar sus propias y distribuir
lo más ampliamente posible.
El problema con los certificados con firma personal es
que cualquier persona puede generar una, que afirma ser
Yo
enNoruega.
Violeta pero
el confío
Rey de
La confianza
ensulos certificados raíz se basa en el hecho
cómo se que
de que son
ampliamente publicadas, haciendo que sean
certificado
es confiable??
difíciles de falsificar.
Si usted tiene un certificado raíz en la mano, usted
Podría
confiar
Violet??
debería
ser en
capaz
de verificar su validez mediante la
comparación de su firma a la firma publicados en el sitio
web de la entidad emisora.
PMA
Política de Órgano de Gestión
Bank Association
FRCA
Financial Root Certificate Authority
Out-sourcing to
TWCA
Bank Association
FPCA
Financial Policy Certificate Authority
TWCA
FUCA 1
Financial User Certificate Authority
Bank 1
RA 1-1
Registration Authority
Users 1-1
Certificate User
HiTRUST
FUCA 2
RA 12
Bank
RA 23
Bank
RA 24
Bank
2
3
4
Users 1-2 Users 2-3Users 2-4
La PKI de los
servicios
financieros xml
de Taiwán
Roles en la Operación de PKI
Aplica para certificado
Usuario
Usuario envía una solicitud de
servicio al proveedor de
servicio con su certificado.
SP
Proveedor de servicio
RA
Autoridad de
Registro
Registro /
Autenticación /
Autorización /
Procesa la aplicación a
la certificación
Usuario de
+ SP
Servicio Proveedor
Servicio
+ RA
Autoridad
Registro
+ CA
Autoridad
Certificacion
CA emite un certificado al usuario
CA
Autoridad de
certificación
Roles en la Operación de PKI
Usuario de Servicio/aplicación
Suscriptor.
Se le expide un certificado.
SP
Proveedor de servicio
RA
Autoridad de
Registro
El beneficiario de un certificado que actúa
confiando en el certificado y las firmas
digitales.
Registro de Autoridad:
Una entidad que es responsible de uno o más de las siguientes funciones:
1. La identificación y autenticación de los solicitantes de certificados
2. Aprobacion o rechazo de las solicitudes de certificados
3. Iniciar revocaciones de certificados o suspensiones en determinadas circunstancias
4. Tramitación de las solicitudes de abonado para revocar o suspender sus certificados
5. Aprobar o rechazar las solicitudes de los abonados para renovar sus certificados de clave.
6. Los RA s no firman o emiten certificados (RA es un delegado de determinadas tareas en
nombre de una CA.
CA
Autoridad de
Certificación
Autoridad de Certificación Opera el mecanismo
de certificacion incluyendo la emision y el
mantenimiento
de los certificados.
17
Roles en la Operación de PKI
1.
2.
3.
PKI es una Infraestructura
PKI es neutral, y se supone que no está
diseñado para cualquier aplicación
específica.
Idealmente , un certificado puede ser
aplicado a múltiples aplicaciones.
El Proveedor de servicio tiene
la última palabra, tendrá
que considerar:
1. Costo
2. Riesgo
3. Usabilidad
Sin embargo, prácticamente cada aplicación tiene su propio nicho.
El grado en que la parte que confía puede confiar en el enlace incorporado en un certificado
depende de varios factores, incluyendo:
1.
Las prácticas seguidas por la entidad emisora de certificados (CA) en la autención del
sujeto.
2.
La política de funcionamiento de la CA, procedimientos y controles de seguridad.
3.
El alcance de las responsabilidades del abonado (por ejemplo: en la protección de la
clave privada).
4.
Las responsabilidades establecidas y los términos de responsabilidad y condiciones de
la entidad emisora (por ejemplo: garantías, renuncias de garantías y limitaciones de
responsabilidad.
Interoperabilidad
EU solicita un servicio público en línea
EU: Puedo tener este servicio a través de internet?
GV: Claro que sí, pero necesita un certificado.
EU: Está bien, deme uno.
GV: Con mucho gusto.
Gobierno.
Proveedor de servicios
públicos
Usuario final
de certificado
Banco BK
proveedor de
EU: Puedo tener una cuenta de cheque digital a través de mi certificado emitido por el
servicios
gobierno??
electronicos
BK: Lo siento pero por regulaciones internas usted puede tener una cuenta de cheque bancarios
EU solicita un servicio bancario
electrónica solo cuando usted tiene un certificado emitido por la entidad financiera nacional de
PKI.
EU: Quiere usted decir que el certificado del gobierno no puede representarme legalmente?
BK: Lo siento, no quise decir eso. Pero aquí, debemos de seguir reglas impustas por la
Asociación de Bancos.
EU: Ok. Deme un certificado que me pueda representar legalmente aquí.
BK: Con gusto.
Interoperabilidad
Certificate End-User EU
Dr. Tu
HR: Dr. Tu, todo está listo. Lo único que necesitamos es su certificado HS.
EU: Qué?
El nuevo
empleador del
Dr. Tu. Un
hospital. HR
HR: Disculpe, necesita un certificado de servicio de hospital para poder accesar a los
expedientes de los pacientes.
EU: Tengo dos certificados:
Uno de servicios públicos del gobierno y otro para servicios financieros – bancarios.
Puedo usarlos?
HR: Disculpe pero por regulaciones de la ley de salud, un doctor puede accesar a los expedientes
de sus pacientes solo a través de un certificado HS
EU: Qué mundo maravilloso!!! Cuantos certificados necesito ????
EU: Ok, deme uno.
HR: Con gusto.
Interoperabilidad
El nuevo
empleador del
Dr. Tu. Un
hospital. HR
Qué mundo más maravilloso!!
Proveedor de
servicios bancarios
electronicos BK.
CA universal
Usuario final
del certificado
EU
Dr. Tu
Certificado universal
Proveedor de
servicios públicos
Interoperabilidad
Pero qué pasa con la liabilidad?
Todos los certificados tienen el mismo ciclo de vida?
Cuestión legal?
Quiénes son: Proveedor de servicio, Autoridad de
registro y la autoridad de certificación?
Lo más importante: ¿Quién pagará por ello?
Cómo interoperar?
Tenemos la misma sintaxis en cada parte del certificado.
Pero contiene diferente contexto.
Lo que significa que las aplicaciones los interpreta de
forma diferente.
Interoperabilidad
•
Los problemas técnicos son fáciles de manejar…
•
La parte fundamental es cómo hacer una solicitud para aceptar
diferentes certificados o para hacer que un certificado sea aceptado
por las diferentes aplicaciones.
•
–
Cada CA tiene su propio PC (certificado de política) y CPS (declaración de prácticas
de certificación).
–
Quién puede tomar la decisión final?
–
Quien será el encargado de hacer una regulación y que todo el mundo la siga?
la interoperabilidad es una cuestión de GESTIÓN y
no una cuestión TÉCNICA.
Por lo tanto,
– Debería de existir un departamento u organismo encargado de todo el
tema de interoperabilidad.
¿Qué es PKI?
Los factores clave de la seguridad de la Información
Autenticación
Autorización
Control de acceso
Contabilidad
Disponibilidad
Confidencialidad
Identificación
¿Qué es PKI?
•
Infraestructura de Clave Pública = PKI (Public Key
Infrastructure)
• PKI es un conjunto de elementos necesarios para crear,
gestionar, distribuir, usar, almacenar y revocar certificados
digitales:
– Hardware
– Software
– Recursos humanos
– Políticas
– Procedimientos
– Aspectos jurídicos
¿Qué es PKI?
En criptografía una PKI es un acuerdo que une a las claves
públicas con las identidades del usuario correspondiente a
través de una entidad emisora de certificados.
–
La identidad del usuario debe ser única dentro de cada
dominio del CA.
–
La unión se establece a través del proceso de registro y
expedición, que, dependiendo del nivel de garantía que la unión
tiene, puede llevarse a cabo a través de software en una CA o
bajo supervisión.
–
El rol PKI que asegura esta unión se llama Autoridad de
Registro. (RA)
¿Qué es PKI?
Diagrama de una Infraestructura de Clave Pública
¿Qué es PKI?
Ámbito de aplicación del regimen criptografico
•
Simétrico
•
Asimétrico
•
Hybrido
Elementos
•
Claves
Secretas
Públicas
Relación entre claves públicas y secretas
¿Qué es PKI?
–
Algoritmo
•
–
Con clave, el mensaje es transformado de leíble a no leíble y
viceversa.
MAC(Message Authentication Code)
Código de Mensaje de Autenticación.
¿Qué es PKI?
Técnicas de PKI
•
Mensaje seguro
•
Resumen del mensaje
•
Certificado digital
•
certificado de lista de revocación
Componentes de PKI
•
CA – Autoridad certificadora
•
RA – Autoridad de Registro
¿Qué es PKI?
Aplicación
Digital
•
–
•
Integridad

Integridad de la entidad

Integridad de los datos
Lo digital envuelve confidencialidad.
¿Qué es PKI?
Certificado de Repositorio
Sistemas y aplicaciones PKI permitidos
•
PKI Tokens
–
La seguridad de la empresa se puede mejorar mediante la
utilización de tokens como la línea de base para la
autenticación del usuario y la certificación.
–
Ámbito de aplicación

Hardware Tokens

Software Tokens
Gracias