SEGURIDAD EN EL COMERCIO ELECTRONICO A TRAVES DE REDES PRIVADAS VIRTUALES.

1
SEGURIDAD EN EL COMERCIO ELECTRONICO A TRAVES DE
REDES PRIVADAS VIRTUALES.
2
INTEGRANTES

• LENIN LEMOS PONCE
• RICARDO MORAN VERA
• RITA CABRERA SARMIENTO

3
OBJETIVOS DE NUESTRO PROYECTO

• Impulsar el comercio electrónico (ecommerce) como
  el mejor marco de negocios a través de redes
  electrónicas.
• Conocer los distintos sistemas de seguridad de
  que disponen las compañías en la actualidad.
• Aplicación de Redes Privadas Virtuales (VPNs)
  como la mejor tecnología en seguridad.

4
OBJETIVOS DE NUESTRO PROYECTO

• Ilustración de comercio electrónico a través de
  VPNs en compra-venta de productos.
• Conocer la Ley de regulación del comercio
  electrónico en el Ecuador.

5
EXPOSICION

• COMERCIO ELECTRONICO.
• SEGURIDAD EN EL WEB.
• REDES PRIVADAS VIRTUALES.
• SITUACION ACTUAL DEL E-COMMERCE.
• CONCLUSIONES Y RECOMENDACIONES.

6
COMERCIO
ELECTRONICO
7
COMERCIO ELECTRONICO

• QUÉ ES EL COMERCIO ELECTRONICO?
• TIPOS DE COMERCIO ELECTRONICO.
• SISTEMAS DE PAGOS DIGITALES.
• SISTEMAS DE PAGOS BASADOS EN INTERNET.
• PROTOCOLO PARA TRANSACCIONES ELECTRONICAS
  SEGURAS (SET).
• PROBLEMAS QUE SE SUSCITAN CON EL E-COMMERCE.
• CONSIDERACIONES LEGALES - CIVILES

8
COMERCIO ELECTRONICO
QUÉ ES EL COMERCIO ELECTRONICO?

• Es cualquier forma de transacción comercial
  basada en la transmisión de datos sobre redes de
  comunicación.
• No se limita a comprar y vender, sino a todos los
  aspectos mercantiles como publicidad, relaciones
  con los trabajadores, contabilidad, búsqueda de
  información sobre productos o proveedores, etc.

9
COMERCIO ELECTRONICO
QUÉ ES EL COMERCIO ELECTRONICO?

• Las empresas, aunque estén físicamente alejadas
  de sus clientes y proveedores, pueden tener una
  mejor comunicación y accesibilidad a todas las
  acciones comerciales.
• Bajo la denominación de comercio electrónico se
  incluye tanto el comercio indirecto o pedido
  electrónico de bienes tangibles como el directo o
  entrega en línea de bienes intangibles.

10
QUÉ ES ELCOMERCIO ELECTRONICO?
COMERCIO ELECTRONICO

• La aparición del comercio electrónico obliga a
  replantear cuestiones del comercio tradicional,
  surgiendo nuevos problemas, como
• La validez legal de las transacciones y contratos
  sin papel.
• El control de las transacciones internacionales,
  incluido el cobro de impuestos.
• La protección de los derechos de propiedad
  intelectual.

11
QUÉ ES ELCOMERCIO ELECTRONICO?
COMERCIO ELECTRONICO

• El fraude.
• El uso abusivo de los datos personales.
• Hasta otros provocados por
• La falta de seguridad de las transacciones y
  medios de pago electrónicos.
• La falta de estándares consolidados.
• La congestión de Internet.
• La proliferación de aplicaciones y protocolos
  incompatibles.

12
TIPOS DE COMERCIO ELECTRONICO
COMERCIO ELECTRONICO

• Comercio entre empresas Business to Business
  (B2B).
• Comercio entre consumidores Consumer to
  Consumer (C2C).
• Negocios entre empresas y consumidores Business
  to Consumer (B2C).
• Comercio entre amigos Pear to Pear (P2P).
• Negocios entre empresas y empleados Business to
  employee (B2E).
• Comercio entre gobiernos Goverment to Goverment
  (G2G).

13
COMERCIO ELECTRONICO
SISTEMAS DE PAGOS DIGITALES
TARJETAS DE CREDITO
Una transacción común de tarjeta de crédito
involucra a 5 partes El cliente. El
comerciante. El banco del cliente. El banco del
comerciante o banco adquiriente. La red
interbancaria.
14
COMERCIO ELECTRONICO
SISTEMAS DE PAGOS DIGITALES
TARJETAS DE CREDITO

• Una transacción ordinaria con tarjetas de crédito
  consta de 10 pasos
• El cliente entrega su tarjeta de crédito al
  comerciante.
• El comerciante pide autorización al banco
  adquiriente.
• La red interbancaria envía un mensaje del banco
  adquiriente al banco del consumidor pidiendo
  autorización.
• El banco del cliente envía una respuesta al banco
  adquiriente.

15
COMERCIO ELECTRONICO
SISTEMAS DE PAGOS DIGITALES
TARJETAS DE CREDITO
5) El banco adquiriente notifica al comerciante
que el cargo ha sido aprobado. 6) El comerciante
llena la orden del cliente. 7) El comerciante
presenta cierta cantidad de cargos al banco
adquiriente. 8) El banco adquiriente envía cada
solicitud de pago al banco del cliente. 9) El
banco del cliente debita de la cuenta del
cliente. 10) El banco adquiriente hace un crédito
a la cuenta del comerciante.
16
COMERCIO ELECTRONICO
TARJETAS DE CREDITO
USOS DE TARJETAS DE CREDITO EN INTERNET
Las tarjetas de crédito fueron una opción obvia
para los primeros sistemas de pago basados en
Internet. Existen 3 técnicas distintas para
aceptar números de tarjetas de crédito junto con
transacciones iniciadas a través del web 1)
Fuera de línea (Off line). 2) En línea con
encriptación. 3) En línea sin encriptación.
17
COMERCIO ELECTRONICO
SISTEMAS DE PAGO BASADOS EN INTERNET
TIPOS DE SISTEMAS DE PAGO

• Anónimos es matemáticamente imposible que un
  comerciante o banco averiguen la identidad del
  consumidor.
• Privados el comerciante no conoce la identidad
  del consumidor, pero le es posible averiguarla a
  través de la organización que opera el sistema de
  pagos.
• Identificatorios Los sistemas de pago pueden
  identificar al consumidor ante el comerciante en
  todos los casos, como por ejemplo las tarjetas de
  crédito convencionales.

18
COMERCIO ELECTRONICO
SISTEMAS DE PAGO BASADOS EN INTERNET
DIGICASH. Es un sistema de pagos electrónicos
que se basa en un sistema de prendas digitales
llamadas monedas digitales. VIRTUAL PIN. No
necesita de un programa especial para que el
consumidor pueda realizar compras. Los pagos son
autorizados mediante correo electrónico. PIN
virtuales típicos son COMPRA VIRTUAL, SU PIN
VIRTUAL, GASTA MI DINERO.
19
COMERCIO ELECTRONICO
SISTEMAS DE PAGO BASADOS EN INTERNET
CYBERCASH / CYBER COIN. CyberCash es un sistema
basado en tecnología de llave pública que permite
usar tarjetas de crédito convencionales a través
del World Wide Web. CyberCoin es una adaptación
de la misma tecnología para realizar
transacciones de pequeño monto. Para utilizar
CyberCash, el consumidor debe descargar un
programa especial del sitio web. Al programa se
le llama billetera CyberCash, y mantiene una base
de datos de las tarjetas de crédito y otros
instrumentos de pago del usuario.
20
COMERCIO ELECTRONICO
SISTEMAS DE PAGO DIGITALES

• TARJETAS INTELIGENTES.
• Las tarjetas inteligentes son idénticas a las de
  crédito, excepto que almacenan información en
  chips de microprocesadores en vez de bandas
  magnéticas.
• Pueden almacenar una cantidad de información
  mucho mayor que las tarjetas de banda magnéticas.
• Las tarjetas inteligentes pueden protegerse
  mediante una clave de acceso.
• Las tarjetas inteligentes pueden ejecutar motores
  de encriptación RSA.

21
COMERCIO ELECTRONICO
PROTOCOLO PARA TRANSACCIONES ELECTRONICAS
SEGURAS (SET)

• SET (Secure Electronics Transaction) es el
  protocolo para Transacciones Electrónicas Seguras
  para enviar información de pagos hechos con
  tarjetas a través de Internet. Sus metas son
• Permitir la transmisión confidencial.
• Autenticar a las partes involucradas.
• Asegurar la integridad de las instrucciones de
  pago por bienes y servicios.
• Autentificar la identidad del tarjeta habiente y
  del comerciante entre sí.

22
COMERCIO ELECTRONICO
PROTOCOLO PARA TRANSACCIONES ELECTRONICAS
SEGURAS (SET)

• SET utiliza encriptación para brindar
  confidencialidad en la comunicación, y firmas
  digitales para autenticación.
• Con SET, se pide a los comerciantes certificados
  digitales emitidos por sus bancos adquirientes,
  para los consumidores es opcional.
• SET permite incluir información privada entre el
  consumidor y el comerciante y entre el consumidor
  y el banco en una sola transacción firmada
  mediante una estructura criptográfica conocida
  como firma dual.

23
COMERCIO ELECTRONICO
PROTOCOLO PARA TRANSACCIONES ELECTRONICAS
SEGURAS (SET)

• El campo del comerciante se encripta con la llave
  pública del comerciante de la misma forma, el
  campo del banco se encripta con la llave pública
  del banco.
• La firma dual permite tanto al comerciante como
  al banco leer y validar su firma en la mitad de
  la solicitud de compra sin tener que desencriptar
  el campo de la otra parte.

24
COMERCIO ELECTRONICO
PROBLEMAS QUE SE SUSCITAN CON EL ECOMMERCE

• Problemas legales de las direcciones IP y DNS.
• Propiedad intelectual e industrial.
• Ley Orgánica de Regulación del Tratamiento
  automatizado de datos de carácter personal.
• Dinero Electrónico.
• Derecho de las telecomunicaciones.
• Efecto aldea global.
• Seguridad y valor probatorio del documento
  electrónico.

25
COMERCIO ELECTRONICO
CONSIDERACIONES LEGALES-CIVILES

• Propiedad Intelectual.
• La Ley de Derechos de Autor.
• Infracción de Derecho de Autor.
• Piratería de Software y la SPA.
• Warez.
• La Ley de patentes.

26
SEGURIDAD EN EL WEB
27
SEGURIDAD EN EL WEB

• CRIPTOGRAFIA.
• ENCRIPTACION Y DESENCRIPTACION.
• ALGORITMOS Y FUNCIONES CRIPTOGRAFICAS.
• TIPOS DE VULNERABILIDADES.
• LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB.
• LOS SISTEMAS ACTUALES DE ENCRIPTACION.
• COMPARACION ENTRE LOS SISTEMAS ACTUALES.
• CORTAFUEGOS (FIREWALLS).
• TIPOS DE CORTAFUEGOS.
• CORTAFUEGOS EN REDES PRIVADAS VIRTUALES.

28
SEGURIDAD EN EL WEB
CRIPTOGRAFIA
La criptografía es un conjunto de técnicas
empleadas para conservar segura la información.
Por ejemplo, he aquí un mensaje que tal vez debe
enviar
S S L i s a c r i p t o g r a f i c p r
o t o c o l.
Este podría ser el mensaje una vez encriptado
- - ! 5 - d . . _
!
Aún mejor mediante la criptografía es posible
volver a convertir este mensaje cifrado en el
comprensible mensaje original.
29
SEGURIDAD EN EL WEB
ENCRIPTACION
Proceso mediante el cual el mensaje llano se
transforma en un mensaje cifrado mediante una
función compleja y una llave de codificación
especial.
Proceso de Encriptación.
30
SEGURIDAD EN EL WEB
DESENCRIPTACION
Proceso inverso, en el cual el texto cifrado se
convierte nuevamente en el texto llano original
mediante una función compleja y una llave de
desencriptación.
Proceso de Desencriptación.
31
SEGURIDAD EN EL WEB
ALGORITMOS Y FUNCIONES CRIPTOGRAFICAS

• Algoritmos de llaves simétricas o de llaves
  privadas.
• Algoritmos de llave pública.
• Criptosistemas Híbridos Público/Privado.
• Funciones de compendio de mensajes.

32
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES SIMETRICAS
En este tipo de algoritmos se utiliza la misma
llave para encriptar y desencriptar el mensaje.
Son muy rápidos. El problema con este tipo de
sistemas es el número de llaves que es necesario
administrar. Entre los más comunes tenemos

• DES (Data Encription Standard)
• DESX
• Triple-DES
• Blowfish (Pez Globo)

33
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES SIMETRICAS

• IDEA (International Data Encription Algoritmh)
• RC2 (Código de Rivest 2)
• RC4.
• RC5.

34
SEGURIDAD EN EL WEB
ALGORITMOS DE LLAVES PUBLICAS

• En este tipo de algoritmos se utiliza una llave
  para encriptar el mensaje y otra para
  desencriptarlo.
• La llave de encriptación se conoce como llave
  pública, mientras que la llave de desencriptación
  se conoce como llave privada o secreta. Entre los
  más comunes tenemos
• Intercambio de llaves Diffie-Helman.
• RSA. (Rivest Shamir Adleman)
• EL GAMAL.
• DSS. (Digital Signature Estándar)

35
SEGURIDAD EN EL WEB
CRIPTOSISTEMAS HIBRIDOS PUBLICO/PRIVADO
La criptografía de llave pública se puede
utilizar en conjunción con la criptografía de
llave privada para obtener los beneficios de
ambos, es decir las ventajas de seguridad de los
sistemas de llave pública y las ventajas de
velocidad de los sistemas de llave privada. En
estos sistemas, la criptografía de llave pública,
más lenta, se utiliza para intercambiar una llave
de sesión, que se usa entonces como base para un
algoritmo de llaves simétricas.
36
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO DE MENSAJES
Una función de compendio de mensajes (message
digest) genera un patrón de bits único para una
entrada específica. Las funciones de compendio
de mensajes transforman la información contenida
en un archivo pequeño o grande, a un sólo número,
típicamente de entre 128 y 256 bits. El valor
del compendio se calcula de modo que encontrar
una entrada que genere en forma exacta un
compendio específico no sea factible
computacionalmente.
37
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO DE MENSAJES
Función de compendio de mensajes
38
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO DE MENSAJES
Entre las funciones más importantes tenemos

• HMAC (Hashed Message Autenthication Code).
• MD2 (Message Digest 2).
• MD4
• MD5
• SHA (Secure Hash Algorithm).
• SHA1

39
SEGURIDAD EN EL WEB
FUNCIONES DE COMPENDIO DE MENSAJES
Analizemos el siguiente ejemplo con el algoritmo
MD5
MD5 (Hay 1500 en la caja azu )
d9261e7d6d1ee9c039076ab02cda6629 MD5 (Hay 1500
en la caja azul ) b8f3aa09ccdec76bce9001f1043c
eefa MD5 (Hay 1500 en la caja azul. )
f1348485f7619f3017c641af3268cda MD5 (Hay 1500
en la caja azul! ) 062dc60d4db7b2fc6130389e8bba
6254
40
SEGURIDAD EN EL WEB
FIRMAS DIGITALES
Las firmas digitales funcionan de manera inversa
al proceso de cifrado normal. La firma digital
utiliza la llave privada en algunos bloques de
datos y el receptor descifra esos datos con la
llave pública que está disponible y es
conocida. PROCESO DE FIRMA DIGITAL. Un usuario
aplica una función de transformación del código
al mensaje, la cual lo reduce a un tamaño de 128
bits. El compendio resultante del mensaje se
cifra con la clave privada del usuario y este
proceso crea la firma digital.
41
SEGURIDAD EN EL WEB
AUTORIDADES EMISORAS DE CERTIFICADOS

• Siempre existe la posibilidad de un fraude en
  cualquier infraestructura de llave pública. Con
  el uso de las firmas digitales, se puede estar
  seguro de que alguien firmó el documento, pero se
  necesita un tercero para asegurarse de que la
  firma es legítima. Ese es el papel de la
  AUTORIDAD EMISORA DE CERTIFICADOS (CA) asegurar
  que esa persona es quien dice ser.
• La llave pública, una pieza única de
  identificación de usuario, y una identificación
  particular de la CA forman el certificado sin
  firma.
• La CA firma la información de la siguiente
  manera la CA transforma el código del
  certificado sin firma, luego toma el código
  transformado y lo cifra junto con su clave
  privada, al final adjunta esta firma al
  certificado original para crear el certificado.

42
SEGURIDAD EN EL WEB
TIPOS DE VULNERABILIDADES

• INTERRUPCION el ataque ocasiona que un recurso
  del sistema deje de estar disponible.
• INTERSECCION el atacante produce la captura no
  autorizada de la información en el medio de
  transmisión.
• FALSIFICACION el ataque produce que una entidad
  no autorizada inserte mensajes falsos en el
  sistema.
• MODIFICACION no solo se da el acceso no
  autorizado a un recurso sino también la capacidad
  de manipularlo.

43
SEGURIDAD EN EL WEB
LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB
Existen cuatro palabras claves que se utilizan
para describir todas las funciones que tiene la
encriptación en los sistemas de información
modernos. Estas funciones son

• CONFIDENCIALIDAD.
• AUTENTICACION.
• INTEGRIDAD.
• NO REPUDIACION.

44
SEGURIDAD EN EL WEB
LA CRIPTOGRAFIA Y LA SEGURIDAD EN EL WEB

• CONFIDENCIALIDAD.- La encriptación se utiliza
  para ocultar la información enviada a través de
  Internet y almacenarla en servidores, de forma
  que cualquiera que intente interceptarlas no
  pueda tener acceso al contenido de los datos.
• AUTENTICACION.- Las firmas digitales sirven para
  identificar al autor de un mensaje las personas
  que reciben el mensaje pueden comprobar la
  identidad de quien lo firmó.
• INTEGRIDAD.- Para verificar que un mensaje no ha
  sido modificado en tránsito.
• NO REPUDIACION.- Mediante la encriptación se
  crean recibos de forma que el autor de un mensaje
  no pueda negar falsamente su envío.

45
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION
Los sistemas criptográficos se componen de
protocolos de red utilizados para proporcionar
confidencialidad, autenticación, integridad y no
repudiación en un ambiente de red. Algunos
sistemas populares son

• PGP
• SSL
• PCT
• S-HTTP
• SET y Cyber Cash

• DNSSEC
• Ipsec e IPv6
• Kerberos.
• SSH

46
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION
PGP PGP (Pretty Good Privacy). Privacía bastante
segura, es un sistema completo para la protección
de correo electrónico y archivos. También es un
conjunto de estándares que describen los formatos
de los mensajes encriptados, llaves y firmas
digitales. SSL SSL (Secure Sockets Layer). El
Nivel de Conexiones Seguras, es un protocolo
criptográfico de propósito general para asegurar
canales de comunicación bidireccionales. SSL
ofrece confidencialidad mediante algoritmos de
encriptación especificados por el usuario
integridad, mediante funciones Hash
criptográficas especificadas por el usuario, y no
repudiación, mediante mensajes firmados
criptográficamente.
47
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION
PCT PCT (Private Comunications Technology).
Tecnología de Comunicaciones Seguras, es un
protocolo de seguridad de nivel de transporte
similar a SSL. Fue desarrollado en respuesta a
los problemas asociados a SSL 2.0. S-HTTP S-HTTP
es un sistema para firmar y encriptar información
enviada mediante el protocolo HTTP del
Web. SET SET (Secure Electronic Transactions).
Transacciones Electrónicas Seguras, es un
protocolo criptográfico diseñado para envío de
números de tarjetas de crédito por Internet.
48
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION
Cyber cash Cyber Cash (Ciber efectivo) es un
protocolo de pagos electrónicos de propósito
similar al de SET. DNSSEC DNSSEC (Domain Name
System Security). El estándar de seguridad del
Sistema de Nombres de Dominios crea una
infraestructura paralela de llaves públicas sobre
el sistema de DNS. A cada dominio del DNS se le
asigna una llave pública . IPsec e IPv6 IPsec es
un protocolo criptográfico diseñado para
proporcionar confidencialidad de principio a fin.
IPv6 incluye Ipsec.
49
SEGURIDAD EN EL WEB
LOS SISTEMAS ACTUALES DE ENCRIPTACION
KERBEROS Kerberos se basa en códigos simétricos y
en secretos compartidos entre el servidor de
Kerberos y cada usuario, quien tiene su propia
clave de acceso. Para operar un sistema con
Kerberos, cada sitio debe tener un servidor de
Kerberos que se encuentre físicamente
seguro. SSH SSH (secure shell) es el interprete
de comandos seguros. Proporciona operaciones
protegidas de terminal virtual (Telnet) y
transferencia de archivos (ftp).
50
SEGURIDAD EN EL WEB
COMPARACION ENTRE LOS SISTEMAS ACTUALES
51
SEGURIDAD EN EL WEB
CORTAFUEGOS (FIREWALLS)

• Un Cortafuego en Internet es un sistema que
  impone una política de seguridad entre la
  organización de red privada y el Internet.
• Una política de seguridad completa incluye
• Publicaciones donde se informe a los usuarios de
  sus obligaciones.
• Normas de acceso a la red.
• Política de servicios en la red.
• Política de autenticidad en acceso remoto.
• Reglas de encriptación de datos y discos.
• Normas de protección de virus

52
SEGURIDAD EN EL WEB
TIPOS DE CORTAFUEGOS

• Filtros de Paquetes.
• Gateways a Nivel de Aplicación.
• Cortafuegos Híbridos.
• Cortafuegos basados en un host Bastión.
• Cortafuegos Basados en Redes

53
SEGURIDAD EN EL WEB
FILTROS DE PAQUETES
Un cortafuegos de filtrado de paquetes ofrece un
control básico de acceso a la red basado en los
paquetes IP. Cuando los paquetes llegan al
cortafuegos, la información se compara con un
conjunto de reglas de filtrado, que especifican
las condiciones según las cuales se autoriza o
niega su acceso a la red. La mayoría de
cortafuegos actuantes como filtros de paquetes
son routers

54
SEGURIDAD EN EL WEB
GATEWAYS A NIVEL DE APLICACION

• Los gateways a nivel de aplicación impiden el
  paso directo de los paquetes de una red a otra,
  más bien, obligan a que la conexión original se
  haga a una aplicación específica, conocida como
  proxy.

Gateways a nivel de aplicación
55
SEGURIDAD EN EL WEB
GATEWAYS A NIVEL DE APLICACION

• Esta aplicación proxy decide si debe o no
  establecer, en representación del host origen,
  una conexión con el host destino solicitado.
• Este tipo de retransmisión de paquetes que
  efectúa el proxy ayuda a impedir algunos ataques
  a nivel de aplicación como el conocido ataque por
  sobreflujo de buffer.
• Una de las limitaciones de un cortafuego basado
  en un gateway a nivel de aplicación es que
  precisa de una aplicación individual para cada
  servicio de red.
• Un cortafuego de este tipo necesita programas
  individuales para Telnet, para correo
  electrónico, para el World Wide Web o para
  cualquier otro servicio que soporte el sistema.
• Además, existe un límite en cuanto al número de
  aplicaciones activas que puede soportar un
  computador, lo que restringe el número total de
  conexiones simultáneas que puede proporcionar el
  cortafuegos.

56
SEGURIDAD EN EL WEB
CORTAFUEGOS HIBRIDOS

• un sistema de cortafuegos híbrido incluye un
  filtro de paquetes y un gateway a nivel de
  aplicación.
• En una configuración híbrida los paquetes
  recibidos son sometidos en primer lugar a las
  decisiones de filtrado del filtro de paquetes.
• Luego los paquetes pueden desecharse, hacerse
  pasar a través del Kernel hacia su destino
  previsto o enviarse a un proxy.
• Un cortafuego híbrido es la mejor solución para
  una Intranet que necesita la seguridad que ofrece
  un gateway a nivel de aplicación para ciertos
  servicios y la velocidad y flexibilidad de un
  filtro de paquetes para otros tipos de servicios.
  

57
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN UN HOST BASTION
La arquitectura basada en host bastión consiste
en un host configurado para resistir los ataques
procedentes del exterior.
Cortafuegos basados en un host bastión
58
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN UN HOST BASTION

• Host bastión de residencia única.
• Solo hay una conexión de red conectada a lo que
  se conoce como red de perímetro.
• El servicio de cortafuegos lo proporciona una
  combinación de los dos routers de filtrado y el
  host bastión.
• El router exterior filtra los servicios no
  soportados por la red interna o por el host
  bastión.
• El router interno limita todos los servicios no
  soportados por la red interna.
• El host bastión proporciona a los usuarios los
  distintos servicios.

59
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN REDES
Se diferencia por estar situado en la red de un
proveedor de servicios de Internet y por su
capacidad para servir a múltiples clientes.
Cortafuegos Basados en una Red.
60
SEGURIDAD EN EL WEB
CORTAFUEGOS BASADOS EN REDES
Estos cortafuegos tienen que superar dos
obstáculos principales. El primero es la
velocidad debido a que el cortafuegos de red
habrá de gestionar el tráfico de múltiples
intranets, deberá soportar un elevado rendimiento
total de procesamiento. El segundo es impedir
que cualquier router situado entre el cliente y
el cortafuegos pueda evitar el cortafuegos y
permitir el acceso incontrolado a la intranet de
otro cliente.
61
SEGURIDAD EN EL WEB
CORTAFUEGOS EN REDES PRIVADAS VITUALES

• Algunos cortafuegos permiten cifrar todas las
  comunicaciones, o algunas de ellas, entre dos o
  más sitios.
• Esta característica, conocida como red virtual
  privada (VPN), precisa que haya un convenio
  entre los cortafuegos para cifrar o descifrar
  los paquetes a medida que se envían y reciben.
• En el caso de haber un gran número de sitios, tal
  vez sea necesario un sistema de gestión de claves
  de encriptación para distribuir automáticamente
  las nuevas claves de encriptación a medida que se
  necesitan.

62
VIRTUAL PRIVATE NETWORKS
63
REDES PRIVADAS VIRTUALES (VPNs)

• Definición de VPN.
• Tecnología de túneles.
• Protocolo IPsec.
• Protocolos ESP y AH.
• Áreas en las que se presentan las VPNs.
• Componentes de las VPNs.
• Beneficios para su organización.
• Seguridad en las VPNs.
• Arquitecturas VPN.
• Comparación de desempeño entre las diferentes
  arquitecturas.
• Ejemplos de Aplicación.

64
REDES PRIVADAS VIRTUALES
DEFINICION DE VPN
Una Red Privada Virtual o VPN (VIRTUAL PRIVATE
NETWORKS) es una extensión de una red privada que
permite enlaces a través de redes públicas o
compartidas tal como Internet, permitiendo enviar
datos entre dos computadores emulando un enlace
privado punto a punto.
Equivalente lógico de una VPN.
65
REDES PRIVADAS VIRTUALES
DEFINICION DE VPN
Para emular un enlace punto a punto, la data es
encapsulada con una cabecera que proporciona
información de ruteo que permite a la data
atravesar la red pública hasta alcanzar su
destino final. Los paquetes que son interceptados
en la red pública o privada son indescifrables
sin las llaves de encriptación.
Equivalente lógico de una VPN.
66
REDES PRIVADAS VIRTUALES
TECNOLOGIAS DE TUNELES
CAPA2 CAPA2 CAPA3

• PPTP (Point to Point Tunneling Protocol).
• L2TP (Layer 2 Tunneling Protocol).
• IPSec (Internet Protocol Security).

PPTP
Es una combinación del Protocolo punto a punto
(PPP) y del protocolo de control de
transmisión/protocolo Internet (TCP/IP). PPTP
puede tomar paquetes IP, IPX, NetBios y SNA, y
envolverlos en un nuevo paquete IP para
transportarlos. Utiliza cifrado para los datos
encapsulados y proporciona autenticación. Los
protocolos empleados para autenticación son el
PAP y el CHAP.
67
REDES PRIVADAS VIRTUALES
TECNOLOGIAS DE TUNELES
PPTP

• PPTP consiste en tres tipos de comunicaciones
• Conexión PPTP. Es justo en donde un cliente
  establece un PPP o un enlace con su ISP.
• 2. Conexión de control PPTP. Al usar Internet,
  un usuario crea una conexión PPTP con el servidor
  RPV y establece las características del túnel
  PPTP.
• 3. Túnel de datos PPTP. El cliente y el servidor
  envían comunicaciones entre sí dentro del túnel
  cifrado.

68
REDES PRIVADAS VIRTUALES
TECNOLOGIAS DE TUNELES
L2TP

• L2TP es el protocolo para el establecimiento de
  túneles de nivel 2. Combina a los protocolos PPTP
  y L2F en una sola norma.
• L2TP utiliza 2 funciones
• Función de línea tipo cliente conocida como LAC,
  que es un concentrador de acceso L2TP.
• Función de servidor de red del lado servidor
  llamada LNS.

LAC agrega los distintos encabezados a la carga
PPP y establece el túnel al dispositivo de
terminación LNS, que puede ser un enrutador o un
servidor. L2TP es un protocolo diseñado para
encapsular en el nivel 2.
69
REDES PRIVADAS VIRTUALES
PROTOCOLO IPsec
IPsec se divide en 2 tipos de transformaciones
de datos para la seguridad de los paquetes
IP Encabezado de Autenticación AH
(AUTHENTICATION HEADER) y la Carga de Seguridad
Encapsulada ESP (ENCAPSULATING SECURITY PAYLOAD)
70
REDES PRIVADAS VIRTUALES
PROTOCOLO IPsec

• IPsec establece que antes de que ocurra cualquier
  comunicación, se negocie una Asociación de
  Seguridad (SA) entre los 2 nodos o compuertas de
  la RPV.
• La asociación de seguridad establece toda la
  información necesaria para asegurar las
  comunicaciones entre los 2 dispositivos.
• La SA verifica el cifrado de punto terminal y los
  protocolos de autenticación.
• La SA se identifica por un número de 32 bits
  llamado Índice de Parámetros de seguridad (SPI)

71
REDES PRIVADAS VIRTUALES
MODOS PARA AH Y ESP
AH EN MODO TRANSPORTE. Se inserta después del
encabezado IP original y protege a los protocolos
de nivel superior. AH EN MODO TÚNEL. Se inserta
antes del encabezado original y se introduce un
nuevo encabezado IP. ESP EN MODO TRANSPORTE.
Protege a los protocolos de niveles
superiores. ESP EN MODO TÚNEL. Igual que AH en
modo túnel.
72
REDES PRIVADAS VIRTUALES
PROTOCOLO ESP
La norma de Carga con Seguridad de
Encapsulamiento (ESP) proporciona
confidencialidad, autenticación e integridad de
los datos.
ESP (ENCAPSULATING SECURITY PAYLOAD)
1 8 16 24 31  
Indice de parámetros de seguridad (SPI) Indice de parámetros de seguridad (SPI) Indice de parámetros de seguridad (SPI) Indice de parámetros de seguridad (SPI)
Número de secuencia Número de secuencia Número de secuencia Número de secuencia
Carga útil de datos (variable) Carga útil de datos (variable) Carga útil de datos (variable) Carga útil de datos (variable)
Relleno (0-255 bytes) Relleno (0-255 bytes)
Longitud del relleno Siguiente cabecera
Datos de autenticación (variable) Datos de autenticación (variable) Datos de autenticación (variable) Datos de autenticación (variable)
73
REDES PRIVADAS VIRTUALES
PROTOCOLO ESP
ESP EN MODO TRANSPORTE
PARA IPv4 e IPv6
74
REDES PRIVADAS VIRTUALES
PROTOCOLO ESP
ESP EN MODO TUNEL PARA IPv4 e IPv6
75
REDES PRIVADAS VIRTUALES
PROTOCOLO AH
El Encabezado de Autenticación (AH) proporciona
integridad de datos y autenticación del origen de
los datos.
AH (AUTHENTICATION HEADER)
76
REDES PRIVADAS VIRTUALES
PROTOCOLO AH
AH EN MODO TRANSPORTE
PARA IPv4 e IPv6
77
REDES PRIVADAS VIRTUALES
PROTOCOLO AH
AH EN MODO TUNEL PARA IPv4 e IPv6
78
REDES PRIVADAS VIRTUALES
AREAS EN LAS QUE SE PRESENTAN LAS VPNs

• INTRANET.
• ACCESO REMOTO.
• EXTRANET.
• RPV INTERNA.

79
REDES PRIVADAS VIRTUALES
RPV DE INTRANET
Una RPV de Intranet se crea entre la oficina
central corporativa y las oficinas de ventas
remota. Se tiene acceso a la Intranet desde fuera
de la red, es decir, que el acceso viene desde el
exterior.
RPV de Intranet
80
REDES PRIVADAS VIRTUALES
RPV DE ACCESO REMOTO
Una RPV de acceso remoto se crea entre las
oficinas centrales y los usuarios móviles
remotos. Con el software de cifrado cargado en
una laptop, un individuo establecerá un túnel
cifrado al dispositivo de las RPV en las oficinas
centrales corporativas.
RPV de Acceso Remoto.
81
REDES PRIVADAS VIRTUALES
RPV DE EXTRANET
Una RPV de extranet se crea entre la empresa y
sus clientes o proveedores. Esta configuración le
dará a la empresa la capacidad para realizar
transacciones de manera segura y efectiva con sus
principales socios comerciales y clientes. Aquí
es donde el comercio electrónico tiene su mayor
impacto.
RPV de Extranet
82
REDES PRIVADAS VIRTUALES
RPV INTERNA
Una cuarta área de la que no hacen uso las
compañías actualmente, es una RPV interna. Qué
motivos hará que una compañía utilice una RPV
interna? Algunos de estos motivos son los
estudios sobre seguridad que indican que los
ataques por empleados internos ocupan el primer
lugar.
RPV Interna
83
REDES PRIVADAS VIRTUALES
COMPONENTES QUE FORMAN UNA RPV

• Disponibilidad.
• Compatibilidad.
• Seguridad.
• Interoperabilidad.
• Auntenticación de datos y usuarios.
• Sobrecarga de tráfico.
• Mantenimiento.

84
REDES PRIVADAS VIRTUALES
BENEFICIOS PARA SU ORGANIZACION

• Acceso remoto de usuarios.
• Aplicaciones de extranet.
• Base de usuarios geográficamente diversa.
• Sitios internacionales.
• Expansión barata del mercado.
• Requisitos razonables de ancho de banda.
• Acceso a servicios externos.
• Líneas rentadas virtuales.

85
REDES PRIVADAS VIRTUALES
SEGURIDAD EN LAS VPNs
La tecnología RPV esta implementada en los
niveles más bajos posibles de la pila de OSI.
Esto crea un beneficio y un problema potencial.
Tener esta tecnología tan abajo como sea posible
en la pila ayuda a eliminar muchos de los
ataques que podrían suceder si estuviese más
arriba, pero puede provocar problemas de
compatibilidad.
Tecnología RPV en la pila OSI
86
REDES PRIVADAS VIRTUALES
ARQUITECTURAS RPV

• RPV proporcionada por un ISP.
• RPV basadas en cortafuego.
• RPV basadas en caja negra.
• RPV basadas en enrutador.
• RPV basadas en acceso remoto.
• RPV de múltiples servicios.

87
REDES PRIVADAS VIRTUALES
RPV PROPORCIONADA POR UN ISP
El proveedor de servicios de red establece un
dispositivo en las oficinas de su compañía que
crea el túnel de RPV para usted. Algunos ISP
pueden instalar un conmutador PPTP frontal en sus
oficinas el cual creará en forma automática los
túneles de RPV para su tráfico. También podría
agregar un cortafuego justo en frente de un
dispositivo de red o entre ellos.
RPV proporcionada por un ISP
88
REDES PRIVADAS VIRTUALES
RPV BASADAS EN CORTAFUEGOS
Las RPV basadas en cortafuego son la formas más
comunes de implementación de RPV hoy en día. De
la misma manera que la tecnología RPV en si misma
se ejecuta en los niveles más bajos de la pila de
OSI, el cortafuego debe hacerlo o puede caer en
problemas de desempeño importantes.
RPV basada en cortafuegos
89
REDES PRIVADAS VIRTUALES
RPV BASADAS EN CAJAS NEGRAS
Se trata básicamente de un dispositivo cargado
con software de cifrado para crear un túnel de
RPV. Estos tipos de dispositivo de cifrado de
hardware son más veloces que los tipos de
software, debido a que crean túneles más rápidos
bajo demanda y ejecutan el proceso de cifrado con
mayor rapidez.
RPV de Caja Negra.
90
REDES PRIVADAS VIRTUALES
RPV BASADAS EN ENRUTADOR
Existen dos dispositivos de RPV basados en
enrutadores. En uno de ellos el software se añade
al enrutador para permitir el proceso de cifrado.
En el segundo método se inserta una tarjeta
externa de otro proveedor en el mismo chasis del
enrutador. El desempeño puede ser un problema
debido a la adición de un proceso de cifrado al
proceso de enrutamiento.
RPV basada en enrutador.
91
REDES PRIVADAS VIRTUALES
RPV BASADAS EN ACCESO REMOTO
Software que se ejecuta en las máquinas de los
usuarios remotos, las cuales están tratando de
crear un túnel hacia su organización y un
dispositivo en su red que permita esa conexión.
Este túnel podría venir de Internet, de una línea
de marcación, de una línea ISDN o una red X.25.
RPV basadas en Acceso Remoto
92
REDES PRIVADAS VIRTUALES
RPV DE MULTIPLES SERVICIOS
Algunas de las aplicaciones de múltiples
servicios para RPV son la filtración de contenido
Web y la revisión antivirus. El tráfico que llega
a la organización se analiza primero por el
software antivirus que se esta ejecutando en el
dispositivo de cortafuego/RPV o por un servidor
ubicado en la zona DMZ.
RPV de múltiples servicios.
93
REDES PRIVADAS VIRTUALES
COMPARACION DE DESEMPEÑO
94
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
COMERCIO ELECTRÓNICO ENTRE SOLECSA (ECUADOR) E
INDURA (CHILE) A TRAVÉS DE VPNs.
SITUACIÓN ACTUAL APLICACIÓN CONTABLE FLEX FORMA
DE COMERCIO ENTRE SOLECSA E INDURA CHILE FORMA
TRADICIONAL (E-MAIL) SISTEMA DE
MENSAJERÍA OUTLOOK 97 STANDARD EDITION.
95
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
PROCESO DE COMPRA Y VENTA FORMA TRADICIONAL
96
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
PROCESO DE COMPRA Y VENTA FORMA TRADICIONAL
PROBLEMAS ACTUALES Los datos son ingresados 1, 2
Y hasta 3 veces, esto es debido a que el sistema
de solecsa no es compatible para recibir
transacciones desde el sistema indura chile. No
existe funcionalidad que garantice autenticidad e
integridad entre los 2 sistemas. Los usuarios se
autentifican primero al sistema de mensajería y
luego nuevamente a la aplicación contable
flex. Los errores cometidos por uno de los dos
lados debe esperar a ser detectados por el otro,
luego esperar que el otro lado notifique a los
primeros, y finalmente esperar a que los primeros
detecten y corrijan el error para luego recién
enviar la transacción corregida vía e-mail.
97
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
SITUACIÓN DESPUES DE IMPLEMENTAR SOLUCIÓN DE
E-COMMERCE.
APLICACIÓN CONTABLE SAP FORMA DE COMERCIO
ELECTRÓNICO ENTRE SOLECSA E INDURA SAP SISTEMA
DE MENSAJERÍA NO INDISPENSABLE.
98
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
E-COMMERCE CON UN ENLACE DEDICADO
99
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
E-COMMERCE CON UN ENLACE DEDICADO
PROBLEMAS RESUELTOS Los datos son ingresados una
sola vez al sistema, y pueden ser accesados
instantáneamente por el siguiente participante
del proceso sin importar si este es de la empresa
que compra o de la empresa que vende. Los
usuarios se autentifican una sola vez al sistema
y relegan el sistema de mensajería para casos
especiales, debido que con el sistema de
comercio electrónico tienen toda la información
que necesitan en línea. Los errores humanos se
reducen, entonces un mayor número de datos puede
ser depurados y comparados automáticamente con el
otro lado de la transacción. Los errores que no
pueden ser detectados por el sistema, pueden ser
corregidos más rápido, debido a que pueden ser
detectados instantáneamente por el otro
participante de la transacción.
100
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
E-COMMERCE CON UN ENLACE DEDICADO
COMPARACION DE COSTOS El costo de implementar un
sistema SAP básico supera los USD 300.000 unas 20
veces más del valor del sistema que se está
usando actualmente, pero esta inversión si es
aceptable cuando las perdidas por mala
sistematización alcanzan el USD 1000.000 al
año. NUEVOS PROBLEMAS PRESENTES La mayoría de
las soluciones de e-commerce terminadas y
probadas trabajan con tecnología EDI, esto
implica que sus bloques de datos van a viajar en
forma llana (no encriptada) cuando se creó el
EDI la preocupación principal era que las
transacciones fueran compatibles y legibles por
cualquier sistema. El hecho de que la data viaje
de esta forma, hace necesario que el canal de
comunicación entre el comprador y el proveedor
sea un canal dedicado punto a punto.
101
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
E-COMMERCE A TRAVES DE VPN
102
REDES PRIVADAS VIRTUALES
EJEMPLO DE APLICACION
E-COMMERCE A TRAVES DE VPN
PROBLEMA RESUELTO La data puede viajar de forma
segura a través de un enlace a Internet,
garantizando su confidencialidad e integridad. El
sistema de CA (autoridad certificadora) garantiza
la autenticidad e integridad de la
transacción. COMPARACIÓN DE COSTOS Al usar
tecnología de VPN se reduce el costo debido a que
un enlace de 256 kbps punto a punto Solecsa
(guayaquil) Indura (santiago de chile) tiene
un costo de USD 2800,oo mensual con fibra más un
costo de instalación de USD 2500,oo, mientras que
una conexión a Internet de 256 kbps tiene un
costo de USD 1200,oo mensual más un costo de
instalación de USD 400,oo. Y un equipo de vpn de
caja negra tiene un costo aproximado de USD 3
000,oo.
103
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
104
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
El Internet es comercialización hacia el
exterior, y, por eso, era necesaria la
concertación de la Ley de Comercio
Electrónico. Ecuador era uno de los pocos países
de América que no contaba con esa Ley esencial.
En Bolivia, Perú, Colombia y Venezuela las
compañías pueden hacer ventas al exterior y
cobrar a través de tarjetas de crédito tomadas
por Internet. Ecuador necesita los mercados
exteriores para llegar a una economía de gran
escala con sus industrias. Esa es la gran
oportunidad de Internet.
105
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
LEY DE REGULACION DEL COMERCIO ELECTRONICO

• El Consejo Nacional de Telecomunicaciones
  (CONATEL) ha promovido en su página web un texto
  concerniente a la propuesta de ley sobre
  regulación del comercio electrónico, el cual se
  describe a continuación en forma resumida
• TITULO PRELIMINAR.
• PRINCIPIOS GENERALES.- Se refiere al ámbito de
  aplicación de esta ley y la definición de varios
  términos.
• TÍTULO II.
• DE LAS FIRMAS ELECTRÓNICAS.- Enfoca los efectos
  de la firma electrónica, requisitos,
  obligaciones, duración y revocación de firmas
  electrónicas.

106
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
LEY DE REGULACION DEL COMERCIO ELECTRONICO

• CERTIFICADOS DE FIRMA ELCTRÓNICA.- Especifica los
  requisitos de certificados, duración, extinción y
  revocación de los certificados de firma
  electrónica, suspensión y reconocimiento de
  certificados de firma electrónica.
• ENTIDADES DE CERTIFICACIÓN DE INFORMACIÓN.-
  Abarca las obligaciones, responsabilidades,
  protección de datos, terminación y cesación de
  actividades.
• ORGANISMOS DE PROMOCIÓN DE LOS SERVICIOS
  ELECTRÓNICOS Y DE REGULACIÓN Y CONTROL DE LAS
  ENTIDADES DE CERTIFICACIÓN ACREDITADAS.- Detalla
  los organismos encargados de la administración,
  sanciones, infracciones y funciones de tales
  organismos.

107
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
LEY DE REGULACION DEL COMERCIO ELECTRONICO

• TÍTULO III
• DE LOS SERVICIOS ELECTRÓNICOS.- Indica que las
  actividades electrónicas que se realicen a través
  de redes de datos se someterán a los requisitos y
  solemnidades en la ley que las rija.
• DE LA CONTRATACIÓN ELECTRÓNICA Y TELEMÁTICA.-
  Enfoca la validez de los contratos, recepción,
  aceptación y jurisdicción de los contratos
  electrónicos.
• DE LOS DERECHOS DE LOS USUARIOS O CONSUMIDORES DE
  SERVICIOS ELECTRÓNICOS.- Señala la protección al
  usuario y la reserva para el envío o la recepción
  de la información.
• DE LOS INTRUMENTOS PÚBLICOS.- Reconoce la validez
  jurídica de los instrumentos públicos, y el tipo
  de notificación de controversias.

108
SITUACION ACTUAL DEL E-COMMERCE EN EL ECUADOR
LEY DE REGULACION DEL COMERCIO ELECTRONICO

• TÍTULO IV
• DE LA PRUEBA Y NOTIFICACIONES ELECTRÓNICAS.- Se
  considera a los mensajes, firmas y documentos
  electrónicos medios de prueba válida, presunción
  de firmas electrónicas, pruebas como tal y
  valoración de las pruebas presentadas.
• TÍTULO V
• DE LAS INFRACCIONES INFORMÁTICAS.- Reseña el
  Fraude Informático, Daños Informáticos, Falsedad
  Informática, Intrusión Indebida a los Sistemas
  Informáticos, Recopilación de Información No
  Autorizada, Violaciones del Derecho de la
  Privacidad y el Robo Electrónico.

109
CONCLUSIONES Y RECOMENDACIONES

• Con el comercio electrónico y los negocios
  dirigidos a través de Internet que aumentan cada
  vez más, es necesario establecer un ambiente
  seguro de comunicación.
• Las distintas infraestructuras de redes y los
  diferentes requisitos organizacionales de
  seguridad exigidos por estos negocios necesitarán
  diversos tipos de arquitecturas VPNs.
• Las VPNs satisfacen las más estrictas necesidades
  de seguridad son rápidas y sencillas. Las
  personas se acostumbrarán cada vez más a Internet
  y exigirán que sus paquetes lleguen cifrados e
  íntegros.

110
CONCLUSIONES Y RECOMENDACIONES

• La velocidad de esta información dependerá de su
  conducto de ancho de banda de Internet y de los
  diversos ISP que deba atravesar para llegar a
  ella.
• Por todo esto es necesario desarrollar de manera
  responsable esta poderosa herramienta de
  seguridad, o cualquier otra que nos dé las
  garantías que necesitamos, si queremos
  desenvolvernos de manera eficiente en el mundo
  del comercio global.

111
MUCHAS GRACIAS POR SU ATENCION