Seguridad en las transacciones on line de comercio electrónico (página 2)

Estas páginas se solicitan y reciben mediante mensajes definidos por el Protocolo de Transporte de Hiper Texto (HTTP, Hyper Text Transport Protocol). Además de transmitir un archivo un servidor Web puede ejecutar un programa como res- puesta a una petición esto se puede realizar a través del lenguaje Interfaz de Compuerta Común (CGI, Common Gateway Interface). Esta interfaz simplifica al servidor algunas operaciones complejas pero no es eficiente, ya que requiere la ejecución de programas independientes por cada llamada; una técnica mejor en la que el mismo servidor realiza la operación externa es la de Interfaz de Programación de Aplicaciones (API, Application Programming Interfaces). [L-1] La Web agrupó todos los servicios de Internet que antes estaban sepa- rados y les da un entorno capaz de combinar imágenes, texto y sonido.

"Una de las leyes fundamentales de la seguridad informática dice que el grado de seguridad de un sistema es inversamente proporcional a la operativ idad del mismo". [W-21]

Internet es una red de grandes servidores en configuración de cliente – servidor3 conceptualmente insegura, ya que fue diseñada con un alto nivel de operatividad. No está mal que sea insegura, ni se trata de un error de diseño, sino que para cumplir con la función para la cual se la creó debía tener el más alto grado de operatividad, lo que trae como consecuencia un alto nivel de in- seguridad.

Podemos decir que la seguridad e Internet son conceptualmente opues- tas. A lo que se le puede dar un grado de seguridad mediante un determinado mecanismo, es a una transacción específica, y este mecanismo se debe repetir cada vez que se lleve a cabo una operación similar.

No ha de creerse que por implantar determinados mecanismos de segu- ridad automáticos, Internet se vuelve segura. Esto se afirma en

"Una cadena es tan fuerte como su eslabón más débil"

Por lo que cuando se conectan dos sistemas, uno seguro y otro insegu- ro, el grado de seguridad no se promedia, sino que pasa a ser el del más inse- guro para todo el sistema.

Definición del problema

Mientras Internet, crece rápidamente, aumenta el intercambio de datos. Muchas empresas realizan transacciones financieras con sus clientes en Inter- net y necesitan asegurarse que sus transacciones sean privadas y de confian- za.

Hacia fines del 2002, asistimos al auge y caída de los negocios en Inte r- net. La gran mayoría de las empresas dedicadas al comercio electrónico fraca- saron y se vaticinó la muerte de las punto com.

Sólo los que hicieron un buen plan de negocios siguen en marcha y los que han fracasado fueron megaproyectos que apostaban a imponer sus mar- cas y rentabilizar su inversión mediante a nuncios publicitarios.

Lo más utilizado actualmente en el comercio electrónico es el e-mail, como herramienta para oferta segmentada a un costo bajísimo.

Según la consultora Carrier y Asociados [W-20], en su publicación Inte r- net en Argentina: Cuantificación y Perfil de usuario, "el mercado argentino de usuarios de Internet mostró un crecimiento del 15%, con lo que, a diciembre de 2002, llegó a alrededor de los 4 millones de usuarios." Lo que es equivalente a 2 veces la audiencia de AM, 39 puntos de rating o 2 veces la cantidad de lecto- res de diarios. Por su parte la consultora D´Alessio IROL [W-25] publicó en su sitio web que "contrariamente a lo que se piensa, Internet no es un ámbito prin- cipalmente formado por adolescentes, ya que el 82% tiene más de 24 años" y "los segmentos de mayor nivel socioeconómico son los que ocupan el lugar más importante dentro del perfil de usuarios, aunque los niveles medios están equiparándolos en su peso numérico" del total de usuarios de Internet, el 46% ocupa cargos de jefaturas, gerencias o dirección. Esto abre más que nunca una oportunidad de negocios on line.

El mercado potencial es enorme y sigue creciendo. Aunque es imposible precisar la cantidad, la Asociación para la In- vestigación de Medios de Comunicación de España (AIMC) aventura que en todo el mundo somos unos 160 millones de usuarios. Todos los días se incor- poran miles de nuevos navegantes que no quieren saber nada de caídas de Nasdaq, ellos desean una Internet que cubra todas sus expectativas y la pro- blemática es que queden satisfechos y que consuman. Pero esto no se produ- ce. La consultora D´Alessio IROL [W-25] asegura que del total de usuarios de Internet que NO compran online, el 52% prefiere no hacerlo por desconfianza a los medios electrónicos de pago. Pese a que a la hora de buscar información sobre un producto, el 82% de los usuarios considera a Internet el medio más confiable; de forma que el 75% de los usuarios de Internet han efectuado con- sultas a servicios y/o productos online pero solo el 15% efectuó alg una tran- sacción. El cliente, frente al comercio electrónico, se siente solo, sin ayuda a la hora de hacer consultas, con una gran desconfianza hacia la tecnología y pen- sando que toda la población de maliciosos hackers está esperando que él in- grese sus datos para hacer todo tipo de estragos. Temeroso, apaga su PC, hace una lista de compras manual y sale hacia la tienda a hacer las compras personalmente.

Definiciones de Comercio Electrónico

"Es la aplicación de la tecnología de información avanzada para in- crementar la eficacia de las relaciones empresariales entre socios comerciales" [W-23] ???"La disponibilidad de una visión empresarial apoyada por la tecno- logía de información avanzada para mejorar la eficiencia y la efica- cia dentro del proceso comercial." [W-24] Combinando estas definiciones podemos decir que el comercio electró- nico es una metodología moderna para hacer negocios que se apoya en la tec- nología informática.

Su éxito radica en que está en sintonía con la necesidad de las empre- sas, comerciantes y consumidores de reducir costos, así como mejorar la cali- dad de los bienes y servicios, además de mejorar el tiempo de entrega de los mismos.

¿Es seguro el comercio electrónico?

Pregunta que muchos usuarios se hacen antes de ingresar en un medio que les parece al menos impersonal, y al que deben entregar datos tan priva- dos como los de su tarjeta de crédito.

Es importante tener en cuenta que no existe sólo una forma de comercio en la Red. Hay miles y miles de páginas Web que ofrecen artículos o servicios a través de Internet y también son cientos de miles las transacciones de datos que se realizan, pero se ha difundido un gran miedo sobre la inseguridad que ofrecen las transacciones por Internet y en particular las que se llevan a cabo mediante tarjetas de crédito. Es apreciable que se corre tanto riesgo en el mundo "real", como en Internet. Por ejemplo en un restaurante: cuando el mozo se lleva nuestra tarjeta, él mismo puede copiar sus datos y luego utilizarla en Internet o en otro comercio. Otro ejemplo es en las compras telefónicas donde transmitimos vía oral los datos de la tarjeta que pueden ser fácilmente intercep- tados o incluso malversados por la empresa en que confiamos, aunque indiscu- tiblemente la interacción con una voz humana nos da una tranquilidad que será difícil reemplazar.

En Internet hay sitios de transacción con facilidades criptográficas en los cuales la información que enviamos se transmite de tal manera que si alguien la intercepta solo verá ceros y unos entreverados porque la información ha sido cifrada para que resulte ilegible a un interceptor (a este proceso se le llama en- criptación). Esta condición es indicada en los navegadores por un símbolo grá- fico para poder detectar si un sitio ofrece estas facilidades. Otra forma de hacer una transacción con tarjeta de crédito es enviar los datos de la misma por fax, este método se usa generalmente para evitar que la información viaje por In- ternet y tiene la ventaja que la persona que envía los datos se queda con una copia firmada de la transacción. Esta última es de uso difundido en países don- de no puede haber una transacción comercial sin una firma de la persona que adquiere el bien o servicio.

Existen, por supuesto, otras formas de pago ya que la idea de hacer transacciones sólo a través de tarjetas de crédito está ampliamente difundida en los Estados Unidos (allí este medio es casi tan común como el documento de identificación) pero excluye a muchos potenciales clientes del resto del mundo; estos son los giros postales o bancarios que ofrecen total seguridad en cuanto al envío y recepción de dinero.

Empresas como Western Union y DHL con sucursales en más de 100 países son una solución práctica y cercana (hay sucursales hasta en farma- cias) a la hora de realizar transferencias de montos pequeños.

Para transacciones de montos mayores se justifica el ya legendario y engorroso giro bancario.

Otro punto importante a la hora de realizar una transacción, sea del tipo que sea, es verificar la seriedad de la empresa, ya sea solicitando referencias de sus clientes u observando su evolución y presencia en Internet.

Por lo antes expresado, vemos al comercio electrónico como una reali- dad que puede tener distintas formas y que seguramente tendrá un crecimiento enorme en el futuro de la Informática.

Las inquietudes a develar con el trabajo de tesis son numerosas y serán tomadas como puntos de partida de la investigación.

Hoy, el gran tema en la informática, pasa por la seguridad ya que con el crecimiento desmesurado que ha tenido, también se expandieron los agujeros de seguridad y la tendencia al caos. Intentamos brindar un humilde aporte al tema y lograr una referencia a la hora de solucionar un problema concreto que existe en el mundo de la Informática.

Una de las principales dificultades al escribir sobre la seguridad en la Web es que esta área es increíblemente dinámica. Por esta razón en lugar de proporcionar información técnica detallada acerca de la instalación y configura- ción de programas específicos, los cuales serán obsoletos terminada la lectura de este trabajo de tesis, se ha incluido información sobre los conceptos y técni- cas que son y serán aplicables en los años venideros.

La estructura de la presente tesis es la siguiente

La parte 1, a continuación, está dedicada a introducir los conceptos del comercio en la Web.

Se abordan los temas relacionados con la privacía de los datos en la era tecnológica actual, su tratamiento, legislación vigente y particularmente el delito informático. Se realiza un acercamiento a los conceptos de seguridad Web. Se presentan los motivos que llevan a atender esta problemática y qué tecnologías se utilizan en defensa de los servidores Web. Adicionalmente se tratan los me- dios de pago que soportan al comercio electrónico.

En la parte 2 se describen las tecnologías de protección de datos y la privacidad del cliente.

Se detallan las políticas de seguridad que debieran ser parte de la ética que un sitio Web de comercio electrónico mantiene hacia sus clientes. Se reali- za un acercamiento a los conceptos involucrados en las técnicas de identifica- ción digital y firma electrónica. También se muestra el uso de los certificados digitales, cómo medio de lograr que los clientes sientan la confianza necesaria para realizar transacciones que impliquen el intercambio de datos sensibles.

Se explican los conceptos involucrados en la criptografía, cómo pieza importante de la seguridad en la Web.

Trataremos la problemática de proteger un sitio Web, qué soluciones ar- quitectónicas se pueden implementar y cuales son sus diferentes implicancias.

Por último, en la parte 3, abordamos la problemática de llevar a la prácti- ca los conceptos vistos y cómo trazar una hoja de ruta para recorrer en la cons- trucción de un sitio Web de comercio electrónico. También realizamos una en- cuesta entre un grupo de profesionales de la informática y analizamos sus re- sultados, comparando los mismos con algunos trabajos sobre el mercado in- formático y el comercio electrónico.

Finalmente se exponen las conclusiones del presente trabajo.

Introducción al Comercio en la Web

En el presente capítulo se introducen los temas relacionados con el co- mercio en la Web. La privacía de los datos, su tratamiento y legislación vigente; y particularmente el delito informático. Se realiza un acercamiento a los conceptos de seguridad Web. Se analizan los motivos que llevan a atender es- ta problemática y qué tecnologías se utilizan en defensa de los servidores Web. Adicionalmente se tratan los medios de pago que soportan al comercio electró- nico.

Comercio en la Web

En marzo de 1997 surgió una nueva clase de amenaza en la Web, Paul Greene [L-9] descubre que una página Web con ciertas instrucciones especia- les podía engañar al navegador Internet Explorer4, de Microsoft, y hacer que ejecutara cualquier programa con cualquier entrada en la computadora del usuario. Este error podría ser utilizado para destruir la computadora de la vícti- ma, infectarla con un virus o capturar información confidencial del disco duro. El error le otorgaba al Webmaster5 el control total sobre cualquier computadora que visitara un sitio con Internet Explorer. A las 48 horas de haber sido detec- tado este error, Microsoft publicó una corrección al mismo, demostrando tanto la habilidad de la compañía para responder y la efectividad de la Web para dis- tribuir correcciones de errores. A pesar de esto, a los pocos días se descubre otro error en Internet Explorer con el mismo efecto destructivo. Estos errores no son solamente de Microsoft, paralelamente se descubrían errores en el ambiente de Java, de Sun Microsystems, incluido en Na vigator de Netscape.

Por otro lado, el gobierno de Massachusetts había anunciado que los conductores podían pagar sus infracciones mediante la Web. Debían dirigirse al sitio Web del Registro de Vehículos Automotores, hacer clic en un botón de- terminado y pagar la infracción con el número de su tarjeta de crédito. Evitando de esta forma tener que perder tiempo haciendo cola para el pago.

Para que el trámite con tarjetas de crédito sea seguro en Internet, el go- bierno aseguraba utilizar un servidor Web "seguro". Pero con "seguro" se refe- ría a la conexión entre el servidor Web y el navegador, es decir, que el primero utiliza protocolos criptográficos de manera tal que al enviar un número de tarje- ta de crédito por Internet, se codifica de modo que no pueda ser interceptado en su recorrido. Pero solo por utilizar criptografía para enviar números de tarje- tas de crédito por Internet no significa que sea inviolable. En el caso de que alguien logre acceder a la computadora con fines delictivos, podría instalar pro- gramas en el servidor y así obtener los números de tarjeta de crédito una vez decodificados. Obteniendo estos números, podría utilizados para cometer frau- des. Esto podría llevar meses para que las compañías emisoras de las tarjetas localicen la fuente del robo de los números, al tiempo que los maleantes habrí- an cambiando de víctima. [L-9]

La seguridad en la Web es un conjunto de procedimientos, prácti- cas y tecnologías para proteger a los servidores y usuarios de la Web co- ntra el comportamiento inesperado.

Las empresas y los gobiernos utilizan cada vez mas el World Wide Web para distribuir información importante y hacer transacciones comerciales. Al violar servidores Web se pueden dañar reputaciones y perder dinero. A pesar que la Web es fácil de utilizar, los servidores y navegadores Web son piezas de software extremadamente complicadas y tienen diversas fallas de seguridad potenciales. Muchas veces se han incorporado funciones sin prestar mucha atención a su impacto en la seguridad. Aunque el software esté bien instalado puede ser una amenaza de seguridad. Al violar los navegadores y servidores Web, los atacantes pueden utilizarlos como base para otros ataques. También existen muchos usuarios principiantes de los servicios basados en el WWW. La generación actual de software les exige tomar decisiones de seguridad releva n- tes a diario, sin proporcionarles información suficiente.

Por lo expresado es que atendemos el tema de seguridad en la Web, con la seguridad de que es más costosa la recuperación de un incidente de seguridad que tomar medidas preve ntivas. [E-1] La información en la Web La vida privada6 y las nuevas tecnologías nunca se han llevado bien, ya que siempre se han ideado formas de espiar a nuestros semejantes. Las auto- pistas de la comunicación han supuesto una revolución en nuestro concepto de intimidad, debido a que a lo largo de nuestra vida dejamos cientos de datos, registros y firmas que se van acumulando. Si alguien pudiera tener acceso a ellos, podría reconstruir fielmente nuestro perfil vital.

En cada etapa de nuestra historia, vamos dejando huellas en nuestros actos cotidianos. Por ejemplo, la toma de huellas y datos en el Registro Civil, datos sobre sucesivas vacunaciones y enfermedades, inscripción en el colegio, datos de participación en concursos y en ofertas comerciales, ingreso a la uni- versidad, ingreso en el padrón electoral, conexión a Internet, registro de casamiento y divorcio, carnet de conducir, créditos hipotecarios, datos bancarios, compras con tarjetas de crédito, registros judiciales y policiales, etcétera.

El vivir rodeados de rastros, nos genera algunos deberes como el que obliga, según la Ley 17.671 en la República Argentina, a comunicar el cambio de domicilio dentro de los treinta días de haberse producido. Entre los dere- chos, aquel que establece la propia Constitución Nacional, denominado Habeas Data, que declara que " todos los habitantes de la Nación Argentina tienen derecho a conocer los datos que las autoridades poseen respecto de su persona".

En el artículo 43 de dicha constitución [W-22], se establece la acción de amparo, siempre que no exista otro medio judicial más idóneo, para ser inter- puesta por cualquier persona para tomar conocimiento de los datos referidos a ella y su finalidad, sea que éstos consten en registros públicos o privados. La acción es igualmente válida para exigir la supresión, rectificación, confidenciali- dad o actualización de los datos, cuando éstos sean falsos o discriminatorios.

Cuando la revelación incompleta de datos es engañosa y no coincidente con la realidad, el interesado tiene el derecho constitucional de exigir la rectifi- cación o actualización de los antecedentes que sobre su persona se brindan a terceros.

El derecho de poder controlar a quienes difunden información personal, es un derecho fundamental porque de no existir la posibilidad de lograr judi- cialmente la rectificación de los datos falaces acerca de una persona, se afec- tan directamente derechos constitucionales, tales como el derecho a la privaci- dad, al honor, a la identidad personal y a la propiedad, con todos los perjuicios económicos y morales que ello puede acarrear para la persona involucrada.

La ley 25.326 de hábeas data reglamenta el derecho de todo ciudadano argenti no a exigir se le haga saber que tipo de información se tienen sobre él en cualquier base de datos pública o privada.

Tratamiento de los datos

Si bien no existen disposiciones específicas sobre el resguardo de datos en la Web, esto no significa que quede excluida su protección.

Es importante tener en cuenta que la información acerca de un individuo se compone de diferentes tipos de datos que se muestran en la figura A y se detallan a continuación. [W-24]

• Datos sensibles: Son los que pueden afectar la intimidad del individuo como son el de raza, ideología, estado de salud, creencias, religión.

• Datos secretos: como son el secreto profesional, secreto comercial, secreto bancario, secreto de confesión, etc.

• Datos reservados: siendo aquellos que el titular no está obligado a pro- porcionar para que sean conocidos por terceros, como son : filiación (hijo ma- trimonial, extramatrimonial, adoptado), delitos contra el honor (difamación, ca- lumnia, injuria), libertad sexual (violación), adulterio, aborto, etc.

• Datos privados: los que el titular debe proporcionar periódicamente a la autoridad para fines específicamente señalados, como por ejemplo los datos contenidos en una declaración jurada del impuesto a las ganancias, sólo deben ser utilizados para los fines que específicamente fueron dados, no para fines distintos.

• Datos públicos: Son aquellos cuya publicación no afecta al individuo,como el sexo, número de documento, nombre y apellido. Los datos que figuran en los padrones electorales o en la guía telefónica.

Figura A.: Tipos de datos.

Estos tipos de datos determinan que la información pueda o no ser tra- tada como confidencial, también debe tenerse en cuenta los límites territoriales de aplicación de la ley argentina, que puede no emplearse si el usuario local brinda información sensible a sitios extranjeros que la divulgan. No hay una pauta única para determinar cuándo una información debe considerarse confi- dencial; depende de las circunstancias. Datos como nombre, domicilio, direc- ción de e-mail o número de teléfono no necesariamente constituyen informa- ción sensible ya que su divulgación no vulnera el derecho a la intimidad. Pero si esos mismos datos son tomados en conjunto o procesados para inferir caracte- rísticas, tendencias o perfiles de sus titulares, bien podrían constituir informa- ción confidencial y sensible. Además, pocos dudarían que los números de tarje- ta de crédito, ingreso patrimonial, antecedentes penales y de evaluación credi- ticia, tendencias sexuales y creencias políticas y religiosas, no sean datos cuyo uso pueda afectar al individuo en su intimidad.

Las empresas que operan en Internet están en una situación privilegiada para obtener información personal de los usuarios, y ninguna ley les impide recopilar sus datos y utilizarlos para fines propios de marketing u otros. Este uso sería contrario a la lealtad contractual y, aunque no es sancionado por la ley, habilita a los afectados a reclamar la indemnización de los daños ocasio- nados. Es recomendable, entonces, que el usuario se interese por la política de confidencialidad de los sitios y, a su vez, que éstos soliciten el consentimiento del usuario antes de divulgar sus datos personales.

En los últimos años un creciente tráfico de archivos, con datos sensibles sobre los usuarios, se ha hecho moneda corriente en Argentina. Pero no había ningún instrumento legal creado para castigar este tipo de delitos.

Entre las principales características de la ley, se cuenta la creación de un organismo estatal que controlará este tipo de delitos en empresas y orga- nismos públicos. Tendrá a su cargo un censo, que habilitará a las empresas inscriptas con un permiso habilitante para guardar datos sobre sus clientes, siempre y cuando no violen su privacidad. Si alguien hace una denuncia porque considera que se han utilizado datos sensibles sobre su persona sin su consen- timiento, la oficina investigaría y podría multar a la compañía. Además, se pre- vé penas de prisión por 3 años como máximo para aquellos que introduzcan información falsa a propósito en una base de datos.

Uno de los puntos conflictivos en estos años han sido la gran cantidad de personas que han denunciado errores en los bancos de datos comerciales. Este problema las inhabilitaba para recibir créditos, aún cuando no tenían ni n- guna morosidad. Por ello, la ley establece que las entidades financieras debe- rán blanquear todos esos errores.

Los archivos de los medios de comunicación quedaron explícitamente fuera del alcance de la ley, para proteger el derecho de los periodistas a reser- var sus fuentes de información.

En la iniciativa legal se explicita que los datos sensibles no pueden ser almacenados de ninguna forma y que toda persona debe ser notificada cuando sea incluida en una base de datos.

La protección de datos personales no es un problema nuevo, pero la Red potencia el riesgo implícito al facilitar la comunicación y el almacenamien- to.

El código civil impone el deber de reparar el daño causado por intromi- sión en la intimidad ajena. En materia comercial, la ley de confidencialidad pro- híbe la divulgación, adquisición o utilización indebidas de información de valor comercial, en atención a su carácter secreto. La ley de habeas data aún espera su reglamentación. Toda persona, tiene el derecho de conocer cuáles de sus datos se incluyeron en registros y bancos de datos públicos o en registros pri- vados y de pedir su supresión, rectificación, confidencialidad o actualización.

Uno de los frenos más grandes para el comercio electrónico es la des- confianza generalizada a la hora de dar los datos de la tarjeta de crédito, por temor a que se agreguen a la cuenta cosas que no se compraron o que el pro- ducto no llegue a destino final. Los consumidores están desconfiando de la tecnología y del sistema de medios de pago. Y no nos referimos a la descon- fianza comercial acerca de quién es el que vende y qué es lo que vende. Esto se sostiene con los relevamientos y con las comprobaciones prácticas que se hacen en la Argentina. Es evidente la necesidad de una seguridad jurídica por parte de los inversores y de las empresas. Si el marco económico no es segu- ro, la gente no realiza emprendimientos.

Dejamos en claro que los registros que administran antecedentes perso- nales tienen obligaciones ineludibles como obtener los datos por vías legales, conservarlos en secreto, tener información cierta, completa, actualizada y pro- porcionarla sólo cuando media la orden de una autoridad competente o cuando la persona involucrada ha autori zado su revelación para el caso concreto.

El incumplimiento de las obligaciones referidas convierte a la administra- ción de datos en manipulación, siendo esta última, ilegal. Se afirma que el espí- ritu de las garantías constitucionales que involucran la cuestión analizada, es que los actos privados de los hombres permanezcan preservados, que haya una esfera de intimidad o privacidad y que la información que se difunde no perjudique injustamente el goce de derechos. Pero más allá de los problemas legales, nos motiva la seguridad del negocio. Aún no se ha denunciado un caso de estafa comercial importante, pero si llegara a pasar los daños en la credibili- dad del sistema de comercio electrónico podrían ser irreversibles. Acabarían comercialmente, de hecho, con la empresa afectada y dañarían a todo el mer- cado.

"En algunas empresas es necesario que las cosas ocurran al me- nos una vez para que se planifiquen acciones a seguir". [E-1]

Servidor Web Seguro

La definición de servidor Web seguro depende de quién sea el receptor:

Para los proveedores de software es un programa que instrumen- ta protocolos criptográficos, de forma que la información transfe rida entre un servidor y un navegador no pueda ser interceptada.

Para los usuarios es el que resguarda la información personal que se reciba, asegurando la privacía sin instalar en su computadora programas hostiles.

Para las compañías que lo administran es el que resiste ataques internos y externos.

Un servidor Web seguro es todo esto y más. Es un servidor confiable, con respaldo, que en caso de fallar puede restablecerse con rapidez. Es ex- pandible de forma que pueda dar servicio a grandes cantidades de tráfico.

Aunque la criptografía es ampliamente reconocida como prerrequisito para el comercio en Internet no es ni estrictamente necesaria para la seguridad en la Web, ni suficiente para garantizarla. Por ello, en este trabajo de Tesis se utilizará el término Web con facilidades criptográficas para denominar a un ser- vidor Web que instrumenta protocolos criptográficos, ya que como veremos la seguridad en la Web es mucho mas que la protección contra la intercepción.

¿Por qué atacar un servidor Web?

A continuación se analizan algunas de las razones que llevan a los ata- cantes a querer introducirse en un servidor Web.

Publicidad: Un sitio Web es la cara visible de una empresa al mundo, y el violar la seguridad de un espacio visitado por cientos de miles de personas en pocas horas, es atractivo para atacantes ideológicos.

Comercio: Muchos servidores Web están relacionados con el comercio y con dinero. Por esta razón los protocolos criptográficos integrados a Navigator de Netscape y otros navegadores fueron originalmente incluidos para permitir a los usuarios enviar números de tarjetas de crédito por Internet sin preocuparse de que fueran interceptados. Así los servidores Web se han convertido en repositorios de información financiera confidencial, blanco intere- sante para los atacantes. Además los servicios comerciales que prestan tam- bién los tornan interesantes.

Extensibilidad de los servidores: Debido a su naturaleza, los servidores Web están diseñados para ser extensibles, lo cual hace posible co- nectarlos con bases de datos, sistemas heredados y otros programas que se ejecutan en la red de una organización. Si no se implementan de modo ade- cuado, los módulos que se agregan a un servidor Web pueden comprometer la seguridad de todo el sistema.

Extensibilidad de los navegadores: Además de poder extender los servidores Web, también los clientes Web pueden serlo. Las aplicaciones auxiliares pueden enriquecer la experiencia de la Web con diversas caracterís- ticas nuevas que no son posibles utilizando solo el lenguaje HTML. Por desgra- cia, estas tecnologías también pueden revertirse y ponerse en contra del usua- rio del navegador, muchas veces sin su conocimiento.

Soporte complicado: Los navegadores necesitan servicios ex- ternos como Servicio de No mbres de Dominio (DNS, Domain Name Service) y el enrutamiento del Protocolo de Internet (IP, Internet Protocol) 7 para funcionar bien. La solidez y confiabilidad de tales servicios pueden ser desconocidas y vulnerables a errores de programación, accidentes y subversión. La subversión de un servicio de más bajo nivel puede causar problemas también a los nave- gadores.

Ritmo de desarrollo: El crecimiento explosivo del comercio elec- trónico y del WWW ha sido empujado (y a su vez empuja) por un ritmo frenético de innovación y desarrollo. Los proveedores liberan nuevas características y plataformas de software, muchas veces prestando mínima (o nula) atención a la verificación8, diseño y seguridad adecuados. El mercado presiona al usuario a adoptar las nuevas versiones a fin de permanecer competitivos. Sin embargo, estos programas pueden no ser compatibles con las prestaciones anteriores o contener vulnerabilidades desconocidas para el público en general.

La solución a estos problemas no es desdeñar la tecnología de la Web sino, por una parte, comprender sus limitaciones y, por la otra, adoptar medidas de seguridad adecuadas.

Componentes de la seguridad en la Web

Los tres siguientes elementos componen la problemática de proteger si- tio Web: [E-1]

Asegurar el servidor y los datos que contiene: el servidor debe poder continuar operando y la información que en él reside debe ser modificada sólo por quienes poseen la autorización y ser distribuida sólo a quienes se des- ee distribuir. Para asegurar la computadora en sí, se deben utilizar técnicas tradicionales de seguridad computacional garantizando a los usuarios, autori- zados del sistema, las capacidades necesarias para hacer su trabajo y sólo esas capacidades.

Asegurar la información que viaja entre el servidor Web y el usuario

: esta información no puede ser leída, modificada ni destruida por ter- ceros. Asegurar físicamente la red de forma que la intercepción sea imposible sería utópico debido a su costo, las soluciones pasan por ocultar la información que se desea asegurar dentro de la información que parece no tener importa n- cia. Esto es encriptar la información de forma que no pueda ser decodificada por nadie que no posea la llave correcta.

Asegurar la computadora del usuario: garantizar que la informa- ción, datos o programas descargados no causarán daños a los usuarios. Las fallas de seguridad en los navegadores puede permitir que los usuarios des- carguen programas hostiles que pueden permanecer inactivos hasta que se teclee, por ejemplo el número de una tarjeta de crédito, capturar la misma y enviar esta información a través de Internet.

Es también un reto de seguridad verificar la identidad del usuario al ser- vidor, verificar la identidad del servidor al usuario, asegurar que los mensajes

8 La revisión del diseño es una tarea fundamental ya que los diseños, como el buen vino, debe estacionarse, decantarse y fermentarse antes de ser consumible. Muchas veces somos re- nuentes a revisar nuestros diseños y replantearnos los problemas, pero ¿subiríamos a un avión donde el ingeniero aeronáutico tuvo pereza de revisar sus diseños? El rediseño y replantea- miento debe formar parte del cronograma de cualquier proyecto informático.

enviados entre cliente y servidor sean oportunos, confiables y sin repeticiones, llevar bitácoras y auditar información sobre las transacciones, equilibrar la car- ga sobre los servidores.

Tarjetas de crédito viajando por la Web

La tarjeta de crédito es un método de pago que permite transferir valor sin transmisión de objetos físicos. No es una idea nueva, el crédito es mencio- nado en escritos que datan del año 1750 a.c., la noción moderna de crédito al consumidor es de principio del siglo XIX y aparece junto con el liberalismo eco- nómico de Adam Smith. En Estados Unidos, país donde el crédito se ha con- vertido en uno de los instrumentos de pago más utilizados, se empezó a popu- larizar después de la Guerra Civil, cuando las compañías manufactureras de máquinas de coser comenzaron a vender en pago a plazos.

La tarjeta de crédito moderna no existió hasta 1949, cuando Alfred Bloomingdale, Frank McNamara y Ralph Snyder concibieron la idea de esta- blecer una posibilidad de crédito que sirviera para viajar ya que si bien el retirar productos de lugares donde uno era conocido se había popularizado en los Estados Unidos, era imposible comprar sin dinero o cheques en lugares donde uno no era conocido y esto era un problema a la hora de hacer viajes de nego- cios donde una persona debía pagar restaurantes y hoteles. Surgió así la tarje- ta Diner"s Club (Club de los Comensales).

Hoy en día existen miles de tarjetas de pago, algunas emitidas por una sola institución financiera, otras funcionan como grandes organizaciones de membresía en donde en realidad la tarjeta es otorgada por un banco miembro. Los bancos imponen tasas de interés sobre el crédito otorgado y contratan a una empresa procesadora de tarjetas bancarias para que mantenga la cuenta de clientes y comerciantes. El servicio que otorga la organización de membre- sía (Visa o MasterCard) es el establecimiento de políticas y la operación inter- bancaria.

Las tarjetas de crédito son la forma más popular para pagar servicios u objetos en la Web en la actualidad, como lo demuestran estudios realizados sobre el comercio en la red por Global Concepts [W-13] por ello en lugar de intentar buscar un sistema que la sustituya, la mayoría de los sistemas de compra en Internet, utilizan las tarjetas de crédito.

La protección del número en tarjetas de crédito para transacción en línea es un ejemplo típico de la necesidad de la seguridad de la Web. La Figura B, muestra un ejemplo de una transacción con tarjeta de crédito en la Web para observar los riesgos.

Un sujeto A utiliza su computadora para conectarse con un almacén de música en la Web, navega por el catálogo de discos, encuentra uno que desea comprar y crea la orden de pedido. Ingresa su nombre, dirección, número de tarjeta de crédito, fecha de vencimiento de la misma y presiona un botón para enviar el pedido.

Figura B.: Compra de un CD con tarjeta de crédito a través de Internet.

Tanto el tarjeta habiente como el comerciante enfrentan riesgos en esta transacción, para el tarjeta habiente son dos riesgos obvios:

El número de su tarjeta de crédito puede ser interceptado y utili- zado para hacer fraudes, de lo cual el sujeto no se percataría hasta que reciba su estado de cuenta o hasta que su tarjeta quede sobregirada.

Podría hacerse el cargo a la tarjeta de crédito pero nunca llegar el pedido, cuando el sujeto A investiga la página Web ya no existe y no puede localizar a la compañía que le realizó el cobro.

Luego veremos métodos diseñados para combatir estos dos riesgos uti- lizando una técnica matemática para revolver la información conocida como encriptación y soportando un complejo sistema de identificación digital. El suje- to A tiene la certeza de que detrás de la página Web del almacén de música están las personas que son quienes dicen ser, como se muestra en la Figura C.

Figura C.: Transacción en línea protegida.

En realidad el consumidor está protegido en el caso que le interceptaran su número de tarjeta de crédito y no es necesario verificar la identidad de los comerciantes ya que éstos no podrían cobrar una compra hecha con tarjeta de crédito a menos que el banco le provea una línea de crédito, lo cual implica un largo procedimiento de solicitud (mucho más arduo que el que podríamos reali- zar como consumidores), una verificación de fondos y hasta en la mayoría de los casos una visita física.

La idea de asegurar las transacciones con tarjetas de crédito es impor- tante a la hora de tranquilizar al consumidor, más que a la hora de protegerlo. Esta tecnología en realidad protege a los bancos y comerciantes ya que si el número de tarjeta es robado debido a negligencia del comerciante éste es res- ponsable ante el banco de cualquier fraude cometido con ese número, a partir de esto las compañías emisoras de tarjetas de créditos exigen que las transac- ciones en línea se realicen con servidores Web con características criptográfi- cas.

Transacciones de pagos interbancarios de tarjetas

Una transacción común de tarjeta de crédito involucra a cinco partes:

El cliente.

El comerciante.

El banco del cliente.

El banco del comerciante (banco adquiriente).

La red interbancaria.

Y consta de diez pasos que se grafican en la Figura D:

• El cliente entrega su tarjeta de crédito al comerciante.

• El comerciante pide autorización al banco adquiriente.

• La red interbancaria envía un mensaje del banco adquiriente al banco del consumidor pidiendo autorización.

• El banco del cliente envía una respuesta al banco adquiriente me- diante la red interbancaria.

• El banco adquiriente notifica al comerciante que el cargo ha sido aprobado o rechazado.

• En caso de haber sido aprobado el comerciante realiza la orden

de compra.

• Luego el comerciante presentará cargos al banco adquiriente.

• El banco adquiriente envía la solicitud de pago al banco del cliente mediante la red interbancaria.

• El banco del cliente acredita el dinero en una cuenta de pagos in-

terbancarios deduciendo algún cargo en concepto del servicio dependiendo del convenio. Este dinero será debitado de la cuenta del cliente de acuerdo a las fechas de cierre y pago pactadas entre el cliente y el banco del cliente.

• El banco adquiriente acredita en la cuenta del comerciante debi- tando algún cargo en concepto del servicio dependiendo del convenio entre él y el comerciante.

Figura D.: Participantes de una transacción típica con tarjeta de crédito.

El registro de la transacción de la tarjeta de crédito, durante más de treinta años se han llevado en papel hasta que en los ochenta, American Ex- press comenzó a digitalizarlos entregando a los clientes impresiones digitales del mismo. Con el tiempo la información que contiene el comprobante se ha ido incrementando. En la actualidad, aunque varía, de tarjeta en tarjeta es común encontrar los siguientes datos:

Nombre del cliente.

Número de la tarjeta de crédito.

Dirección del cliente.

Fecha de transacción.

Monto de la transacción

Descripción de la mercadería o servicio.

Código de autorización.

Nombre del comerciante.

Firma del cliente.

La información contenida en el comprobante es útil para consumar tran- sacciones y combatir el fraude.

Los bancos cobran una comisión por las prestaciones con tarjeta de cré- dito. Esta comisión varía de acuerdo a convenios entre el banco y el comercio, entre el 1 y el 7%. Este porcentaje lo paga el comerciante de modo que si una persona compra $100 en productos en un comercio X, verá en su estado de cuenta un cargo de $100 pero al comerciante se le depositarán $97 quedándo- se el banco adquiriente con la diferencia. Algunos bancos además cobran a los comerciantes una cuota fija por transacción y autorización, además de una ins- cripción anual y del alquiler de la terminal de tarjeta de crédito.

Los bancos emisores obtienen ganancias de las cuotas impuestas al consumidor y de los intereses resultantes, además del costo de mantenimiento.

La mayoría de los comerciantes deberían preferir recibir pagos con tarje- ta de crédito en lugar de cheque o efectivo pese al porcentaje que se le debita, ya que este sistema brinda una confianza instantánea de que se ha hecho el pago y el dinero se depositará en la cuenta del comerciante a diferencia de los cheques que pueden no tener fondos o el efectivo que puede ser falso y aún siendo cheques o dinero efectivo bueno, son objetos físicos que se pueden perder, robar, destruir, etc.

En algunas ocasiones es necesario cancelar el cargo hecho a la tarjeta ya sea por devolución de mercadería o cancelación del servicio. Los bancos emisores de tarjetas están preparados para transferir cargos en ambos senti- dos sea por un débito o por un crédito. De la misma forma se puede cancelar un débito que se prueba fraudulento.

Los primeros sistemas de pagos basados en Internet tomaron la infraes- tructura de transacciones con tarjetas de crédito de forma natural, ya que, mu- chos comerciantes y clientes estaban habituados a este sistema.

El número de tarjeta de crédito es una clave de acceso utilizada para realizar cargos en la cuenta del consumidor. Es considerado un dato sumamen- te sensible y la responsabilidad legal por el robo de un número de tarjeta de crédito a causa de una transacción es para el comerciante, ya que se considera una negligencia de seguridad.

Uso de las tarjetas de crédito en Internet

Existen tres formas de realizar una transacción con un número de tarjeta de crédito en la Web:

Fuera de línea: en este método el cliente realiza la orden de com- pra utilizando la Web. Luego el comerciante llama por teléfono al cliente y verifica la orden de compra y le solicita los datos de la tarjeta de crédito. Los riesgos de este método son equivalentes a enviar el número de tarjeta de crédi- to sin encriptar ya que la línea de teléfono podría estar intervenida, pero sin embargo existe porque en el imaginario de los consumidores es aterradora la idea de mandar el número de tarjeta de crédito a través de Internet. Además las personas parecen comprender las leyes básicas de fraude con tarjeta de crédito e intervención telefónica mejor que estas mismas leyes aplicadas a la intervención de transacción electrónica de datos. Es intención del autor promo- ver en el lector la idea de la importancia de cambiar este punto de vista del mercado, ya que en rigor este método es el más inseguro. Debemos, con la correcta promoción de las políticas de seguridad aplicadas a la empresa, gene- rar confianza en el cliente.

En línea con encriptación: el consumidor envía el número de tarjeta al comerciante a través de Internet mediante una transacción encriptada. Este método es el único recomendable.

En línea sin encriptación: el consumidor envía el número de tar- jeta, ya sea utilizando correo electrónico o un comando POST o GET de HTTP. Esta técnica es vulnerable a la intercepción.

Métodos alternativos a la tarjeta de crédito para compras en In- ternet

Desde que existe el comercio electrónico se han buscado distintos mé- todos alternativos de pago intentando reducir el costo de transacción; propor- cionar anonimato, ya que con los sistemas de tarjeta de crédito se le debe dar al comerciante varios datos que algunos consumidores son reacios a propor- cionar; buscar mayor mercado, muchos potenciales clientes del mercado elec- trónico no tienen posibilidad de acceder a una tarjeta de crédito por no cumplir con los requisitos exigidos, los nuevos sistemas al no basarse en crédito podrí- an ser menos restringidos permitiendo entrar al mercado electrónico a muchos potenciales consumidores.

Algunas compañías han incurrido en sistemas prepagos donde el adqui- riente abona por adelantado una suma de dinero en efectivo y obtiene una tar- jeta con el monto pagado. Este método no tubo gran difusión.

Otra forma de pago utilizada por empresas es el registrar personalmente en una sucursal los datos del cliente y de su tarjeta de crédito. El cliente recibe un identificador de usuario y clave para realizar compras en una cuenta corrien- te virtual para luego recibir el cargo en su tarjeta. De esta forma el número de la tarjeta no viaja por Internet y el usuario siente que la atención personalizada de la sucursal le transmite seguridad.

Las tarjetas de débito con marcas de tarjetas de crédito como Visa o MasterCard permiten realizar una compra y el cargo se debita de inmediato de la cuenta del cliente procesándose en la misma red interbancaria de las tarjetas de crédito. Las tarjetas de débito están reguladas por leyes distintas a las de crédito, lo que impacta en varios aspectos de su uso, por ejemplo el consumi- dor no está protegido en forma automática si la tarjeta es robada, éstas y otras diferencias deben leerse con sumo cuidado en el acuerdo con el banco emisor.

Estos medios alternativos de pago en Internet no se han popularizado, siendo la tarjeta de crédito la opción más viable.

Cómo evaluar un sistema de pago mediante tarjetas de crédito

Las siguientes preguntas se deben hacer a la hora de evaluar un siste- ma de pagos.

¿Está la información de los números de tarjetas de crédito, y el resto de la información sensible y privada almacenada, e ncriptada?

¿Los números de tarjetas de crédito de transacciones no recu- rrentes son eliminados una vez terminada la transacción?

¿Comprueba el sistema el dígito verificador del número de tarjeta de crédito proporcionado al introducirlo?

¿Realiza el sistema autorizaciones en tiempo real?

¿Está el sistema preparado para manejar cancelaciones de car- gos? De las respuestas a estas preguntas dependerá el nivel de seguridad en el manejo de datos de tarjetas de crédito de un sitio Web.

Consideraciones legales

El autor mexicano Julio Tellez Valdez [W-8] señala que los delitos info r- máticos son "actitudes ilícitas en que tienen a las computadoras como instru- mento o fin (concepto atípico) o las conductas típicas, antijurídicas y culpables en que se tienen a las computadoras como instrumento o fin (concepto típico)". Por su parte, el tratadista penal italiano Carlos Sarzana, sostiene que los deli- tos informáticos son "cualquier comportamiento criminal en que la computadora está involucrada como material, objeto o mero símbolo".

Los ejemplos de delitos informáticos son muchos y con las posibilidades tecnológicas, aumentan en cantidad. Algunos de ellos son: Falsificación de documentos vía computarizada, variación de la situación contable, planeamiento y simulación de delitos convencionales, sustracción o copiado de información confidencial, modificación de datos, uso no autorizado de programas de computo, alteración en el funcionamiento de los sistemas, propagación intencional de virus informáticos, acceso a áreas informatizadas en forma no autorizada, intervención en las líneas de comunicación de datos o teleproceso, programación de instrucciones que producen un bloqueo total al sistema, destrucción de software o hardware por cualquier método, secuestro de soportes computarizados con fines de chantaje, uso ilegitimo de passwords y la entrada de un sistema informático sin la autorización del propietario, uso no autorizado de información almacenada en una base de datos, lectura de un mensaje electrónico ajeno, estafas y engaños en transacciones electrónicas, mensajes que remitan consignas, información y planes de actuación de consignas, información y planes de actuación de cualquier delito que pueda ser trasladado de la vida real al ciberespacio o al revés.

Estos delitos afectan de distinta forma a las víctimas. Siendo algunas más preocupantes que otras. En este trabajo veremos como elaborar estrate- gias que nos protejan de varios de estos ataques. Centrándonos en aquellos que afectan la transacción de datos en el comercio electrónico.

Los puntos a continuación detallan algunas consideraciones a tener en cuenta para no incurrir en un delito informático relacionado al comercio electró- nico:

Si se está consciente de una actividad criminal y no se informa, legalmente se es responsable como cómplice.

Si una computadora se utiliza para actividades ilegales y su dueño no toma acciones definitivas puede ser acusado con una demanda civil que busque compensación de los daños ocasionados.

Si un ejecutivo de una empresa es consciente de una actividad ilegal dentro de la misma y decide no investigar y perseguir dicha actividad, los accionistas pueden hacerle una demanda.

Si cree se que el sistema está en riesgo o ha sido utilizado para actos ilegales o inapropiados, se debe considerar levantar un acta penal y buscar asesoría legal teniendo en cuenta que se pueden ver involucrados códigos civi- les y penales de varios países ya que Internet se caracteriza por su nivel alto de globalización.

A continuación describimos políticas a seguir para resguardarse de pro- blemas legales:

Utilizar el derecho de autor registrando el código fuente e indican- do en los mismos que son propiedad privada, aumentando la posibilidad de persecución a gente que robe su código.

Asegurarse de que los usuarios sepan que pueden y que no pue- den hacer.

Poner sobre aviso a los usuarios de que se los está monitoreando por su propia seguridad, ya que de lo contrario, el monitoreo podría ser consi- derado una violación a la privacía.

Tener buenas políticas de back up, para que las mismas puedan ser utilizadas como evidencia legal de como estaba el sistema antes de un ata- que y para recuperarse del mismo.

Las bitácoras pueden ser valiosas durante una investigación o proceso judicial, deben tener fecha, hora y descripción del evento que se ha producido.

Tener por escrito políticas de seguridad y asegurarse de que cada persona sea empleado o usuario del sistema esté en conocimiento de las mis- mas.

Cuando ocurre algún hecho en el que deba intervenir alguna agencia judicial no se debe permitir al personal de la empresa conducir su pro- pia investigación.

Los empleados que traten información sensible deben firmar un convenio de confidencialidad.

Se deben tener planes de contingencia con abogados y aseguradoras que contengan acciones a emprender en caso de ser víctima de una irrupción o delito informático.

Administración de riesgos

La seguridad en la Web es difícilmente absoluta, mientras más medidas de seguridad se utilicen, menor es el riesgo que se corre. Se debe reducir el riesgo tanto como sea posible y planear las medidas para recuperarse rápida- mente de un incidente de seguridad.

La seguridad Web no es fácil ni barata pero la inseguridad puede ser aún más costosa.

La seguridad no es un producto que pueda comprarse, es parte integral de una organización y de la mentalidad de sus componentes. [E-1]

Tecnologías de protección

En este capítulo se analiza la necesidad de proteger los datos y la priva- cidad del cliente, brindándole seguridad. Las políticas de seguridad que debi- eran ser parte de la ética, que un sitio Web de comercio electrónico mantiene hacia sus clientes. Se realiza un acercamiento a los conceptos involucrados en las técnicas de identificación digital y firma electrónica. También se muestra el uso de los certificados digitales, como medio de lograr que los clientes sientan la confianza necesaria para realizar transacciones que impliquen el intercambio de datos sensibles.

Se explican los conceptos involucrados en la criptografía, cómo pieza importante de la seguridad en la Web.

En particular nos concentramos en la problemática de proteger un sitio Web, qué soluciones arquitectónicas se pueden implementar y cuales son sus diferentes implicancias.

Protección de la privacía

Es importante prestar atención a la protección de la privacía personal en la Web ya que esta es una razón por la que muchos potenciales usuarios del comercio electrónico permanecen renuentes a serlo. Además de tener presente la defensa que otorga la legislación a los usuarios.

Cada vez que un navegador muestra una página Web, se crea un regis- tro en el servidor. El mismo contiene el nombre y dirección IP de la computado- ra que hizo la conexión, la fecha y hora de la petición, el URL solicitado, el tiempo que tomó descargar el archivo. Si se ha usado autenticación mediante HTTP se registra el nombre de usuario, cualq uier error que haya ocurrido, la página anteriormente descargada y el tipo de navegador utilizado.

Una de las violaciones a la privacidad del usuario más frecuentemente usada es registrar la página descargada anteriormente, de esta manera las empresas además de evaluar la efectividad de su publicidad en otras páginas pueden hacer un estudio de la forma en que un usuario navega a través de un sitio, sus preferencias e intereses. A tal efecto se utilizan archivos, llamados cookies, que se graban en la computadora del usuario al ejecutarse algún evento. Para ciertos tipos de aplicaciones basados en Web, como por ejemplo los carritos de compras de los sitios de e-commerce, son necesarias. Si bien las cookies pueden emplearse para mejorar la seguridad, también para elimi- narla. Por desgracia esto no es elección del usuario. Los navegadores deberían dar la posibilidad de controlar las cookies presentando las siguientes opciones:

Posibilidad de habilitar o deshabilitar el envío y almacenamiento de cookies.

Indicación de si se está utilizando una cookie.

Capacidad de especificar un conjunto de dominios para los que se pueden almacenar cookies, permitiendo que si el usuario tiene confianza en un sitio en particular pueda utilizar la aplicación sólo para ese sitio.

Los navegadores más comunes notifican al usuario cuando se recibe una cookie, si éste especifica esa opción, pero no permiten deshabilitar el e nvío de cookies que ya se han aceptado, rehusar las cookies de algunos sitios pero no de otros o rehusarlas de manera categórica sin ser molestado. El hecho de que no exista un método fácil para deshabilitar el mecanismo de cookies no significa que no pueda hacerse. Algunos trucos son:

En sistemas Unix, reemplazar el archivo de cookies con un link a /dev/null.

En Windows reemplazar el archivo de cookies por uno de longitud cero con permisos que nieguen la lectura y la escritura.

Aceptar las cookies que se desee y luego cambiar los permisos del archivo a sólo lectura, evitando el almacenamiento de más cookies.

FiguraE.: El sitio está certificado por e-trust y lo promociona.

Los negocios en línea saben mucho acerca de sus clientes, como en cualquier negocio, conocen los nombres, dirección, teléfono y nro de tarjeta de crédito. Pero también pueden registrar con quién intercambian correo electróni- co, intereses de mercado, etc. La Fundación de la Frontera Electrónica ha des- arrollado un proyecto llamado e-trust (confianza electrónica) que consiste en someter a auditorías periódicas a las empresas de comercio electrónico. Las que cumplan con un estándar, que especifica lo que se puede hacer con los datos sensibles de los usuarios, podrían certificarse como sitio e-trust. La Figu- ra E muestra un sitio que promociona su certificado e-trust como forma de ge- nerar confianza en el cliente.

Al hacer clic en el vinculo del logo aparece un certificado con el detalle de la certificación, como vemos en la Figura F.

FiguraF.: Pagina de validación del certificado e-trust del sitio.

En Estados Unidos está en vigencia desde 1997 el Acta de Protección de la Privacía de los Consumidores de Internet que prohíbe a los servicios en línea divulgar cualquier información personalmente identificable sobre sus clientes, a menos que con anterioridad, el cliente hubiese dado su expresa au- torización por escrito. Por esto es que en Internet se ha hecho común que al- gunos servicios se ofrezcan de forma gratuita a cambio de que uno ingrese ciertos datos como la dirección de correo electrónico y su consentimiento para recibir publicidad. Los datos son vendidos a distintas consultoras de mercadeo que los utilizan para los más diversos fines.

A continuación se presenta una lista de políticas empleadas por los sitios que respetan la privacía de los datos sensibles.

No exigir a los usuarios que se registren para utilizar su sitio.

Permitir a los usuarios registrar su dirección de correo electrónico sólo si desean recibir boletines.

No compartir con otra compañía los datos de un usuario sin la au- torización explícita de este, para cada una de las compañías con las que se desea compartir esas direcciones.

Siempre que se envíe un mensaje de correo electrónico a los usuarios, explicarles como se obtuvo su dirección y como puede hacer para borrarse de la lista de distribución si así lo desea9.

No permitir el acceso a las bitácoras.

Eliminar las bitácoras cuando ya no sean necesarias.

Eliminar de las bitácoras toda la información personalmente identi- ficable de los usuarios que no sea necesaria para la misma.

Encriptar las bitácoras.

No dar ninguna información personal de los usuarios.

Aplicar políticas internas de privacía con los empleados, una or- ganización es la suma de sus componentes.

Informar a los usuarios acerca de las políticas en la página princi- pal y permitir que la compañía sea auditada por terceros si surgen preguntas sobre su política.

Técnicas de identificación digital

La identificación es parte indispensable de la vida actual. Es cosa de to- dos los días identificarnos mediante documentación: al cobrar un cheque, al abrir una cuenta en un negocio, al abonar con tarjeta de crédito o débito, al so- licitar empleo, al ingresar en un edificio, al adquirir propiedades, ante los repre- sentantes de alguna fuerza de orden y justicia y en todos los casos en que ne- cesitemos probar de forma confiable quienes somos. Los símbolos físicos co- mo el DNI, cédula u otra tarjeta de identificación permiten a las empresas ex- tendernos crédito y confianza. Estos medios de identificación no crean por si mismos un ambiente de negocios estable, trabajan a la par del sistema legal. Si una persona firma un cheque sin fondos o no cumple con un contrato la parte perjudicada puede esperar una reparación satisfactoria mediante el orden legal, asegurándose previamente de verificar que la persona que le ocasionó el daño es quien dice ser.

Para los clientes también es importante verificar que las empresas son quien dicen ser, para esto se puede utilizar la ubicación física de la misma, ya que en el Registro Público de la Propiedad consta quién es el dueño de una propiedad y se puede recurrir a la justicia para exigir una reparación en caso de ser damnificado por una empresa ubicable.

En el mundo digital, en cambio, las cosas pueden no ser como parecen a simple vista y ambas partes, cliente y empresa podrían no ser quien dicen ser.

Identificación computarizada

Tradicionalmente las computadoras personales no identificaban a sus usuarios sino que le daban acceso total a quién se sentara frente al teclado. Hoy en día con los sistemas operativos con módulos avanzados de seguridad y tendientes a operar en red, las cosas han cambiado. Sin embargo la preocupa- ción de estos sistemas de identificación no son que la persona sea legalmente quien dice ser, sino que el usuario esté autorizado para acceder a sus recur- sos. Se pueden identificar cuatro tipos de sistemas de identificación que se de- tallan a continuación.

• Sistemas basados en clave de acceso: algo que se sabe

Este fue el primer sistema de identificación digital, donde cada usuario del sistema tiene un nombre de usuario y una clave de acceso que se corres- ponden para probar la identidad del mismo. La premisa es: si el usuario ingresa un nombre de acceso valido y una clave que se corresponde con la que está almacenada para ese nombre de usuario, simplemente debe ser quien dice ser.

Existen varios inconvenientes con este tipo de identificación:

El sistema debe tener archivado el nombre de usuario y su correspondiente clave antes de comprobar la identidad.

La clave puede ser interceptada y quien lo haga puede hacerse pasar por el usuario.

El usuario puede olvidar su clave de acceso.

Una persona que conozca al usuario puede inferir su clave si este no aplica una buena política al elegir la clave.

El usuario puede compartir su clave con otras personas de forma voluntaria.

• Sistemas basados en prendas físicas: algo que se tiene

Otra forma de probar la identidad de un usuario es mediante una prenda física, como las tarjetas de acceso. Cada tarjeta tiene un número único y el sis- tema tiene una lista con tarjetas autorizadas y los privilegios de cada una. Pero al igual que los sistemas basados en claves de acceso, hay algunos inconve- nientes con este sistema.

La prenda no prueba quien es la persona. Cualquiera que la tenga accederá a los privilegios asociados a la misma.

Si un usuario pierde su prenda, no podrá acceder al sistema aun- que tenga todos los derechos.

Algunas prendas pueden ser copiadas o falsificadas.

Este sistema en realidad no autoriza al individuo sino a la prenda.

• Sistemas basados en biométrica: algo que se es

Esta técnica realiza mediciones físicas al usuario y lo compara con regis- tros almacenados con anterioridad. La biométrica se puede realizar a través de huellas digitales, forma de la mano, patrón de vasos sanguíneos de la retina, patrones de ADN, registro de voz, caligrafía, forma de teclear, si bien es una forma bastante confiable de determinar la identidad de un usuario, tiene alg u- nos problemas.

La firma biométrica de una persona debe estar almacenada en un banco de datos de una computadora antes de ser identificada.

Requiere de equipamiento caro y de propósito específico.

El equipo de medición es vulnerable al sabotaje y fraude.

• Sistemas basados en ubicación: Algún lugar en el que se está

Este sistema utiliza el Sistema de Ubicación Global (GPS, Global Posi- tioning System) para autenticar al usuario sobre la base del lugar en el que es- tá. Como sus predecesores, no es ajeno a inconvenientes:

La ubicación de una persona debe estar almacenada en un banco de datos de una computadora antes de ser identificada.

Requiere de equipamiento caro y de propósito específico.

El sistema asegura que hay alguien que posee el GPS en donde se supone que lo debe tener pero nada más.

Firmas digitales

Los sistemas de identificación antes descriptos son mejorados al combi- narse con firmas digitales [L-9]. La firma digital es una tecnología que consta de:

Una llave privada: utilizada para firmar un bloque de datos.

Una llave pública: utilizada para verificar la firma.

Supongamos que un sujeto A, como el de la Figura G, distribuye una lla- ve pública a prueba de alteración. Como esta llave sólo sirve para comprobar si la llave privada que el sujeto A conserva es realmente la llave privada del suje- to A, sí alguien intercepta la llave pública no le serviría de nada, por lo tanto el sujeto A podría distribuir la llave pública por cualquier medio.

Figura G.: Distribución de una llave pública.

Figura H.: Uso de la firma digital para comprobar la identidad.

Supongamos ahora que un sujeto B, como el de la Figura H, necesita corroborar que el sujeto A ha leído un documento X, para esto envía el docu- mento X por mail al sujeto A, el sujeto A recibe el documento X lo lee y anexa su firma generada con la llave secreta. El sujeto A reenvía el documento firma- do al sujeto B que mediante la llave pública corrobora la legitimidad de la firma.

Los siguientes son los medios físicos en los que soportan la tecnología de llave digital para realizar firmas.

Llave encriptada almacenadas en disco duro: esta es la forma más sencilla de almacenar la llave, aunque vulnerable a usuarios de la compu- tadora y a programas hostiles.

Llave encriptada en medio removible: es un poco más seguro guardar la llave privada en un disquete, disco compacto u otro medio removi- ble. Pero para utilizar la llave privada la computadora debe desencriptarla y copiar la memoria, por lo que aún sigue siendo vulnerable a programas hosti- les.

Llave almacenada en un dispositivo inteligente: estos disposi- tivos son una tarjeta con un microprocesador que almacena la llave privada transfiriéndola directamente sin cargarla en memoria por lo que es inmune a un programa hostil que intente capturarlo. La desventaja de este tipo de dispositivo es su fragilidad y la posibilidad de ser robadas o extraviadas.

Desventajas

A continuación mencionaremos algunas desventajas que presenta utili- zar una infraestructura de llaves públicas.

La mayor parte de las transacciones de comercio en Internet se basan en las tarjetas de crédito, sin utilizar la tecnología de firmas digitales.

Las firmas digitales facilitan la prueba de identidad pero no la aseguran, todo lo que comprueban es que una persona tiene acceso a una lla- ve privada específica que complemente a una llave pública específica que está firmada por una autoridad certificadora específica.

Al no existir estándares que regulen a las autoridades certificado- ras no es posible evaluar la confiabilidad de las mismas, no es posible saber si la autoridad certificadora quebranta sus propias reglas emitiendo documentos fraudulentos. También es difícil comparar una autoridad certificadora con otra y más difícil aún hacerlo de forma automática.

El certificado no posee los datos suficientes como para identificar de forma legal a su poseedor.

La tecnología de firma digital no permite la divulgación selectiva de datos.

Certificados digitales

Existen organizaciones, llamadas autoridades certificadoras, que se en- cargan de comprobar si una llave pública específica es propiedad de un indivi- duo u organización en particular. Como resultado de esta comprobación emiten un "Cerificado de llave pública" que contiene el nombre de la persona, la llave pública, número de serie, la fecha de creación del certificado y la fecha de ve n- cimiento. El certificado comprueba que una llave pública específica es propie- dad de un individuo u organización en particular. Los navegadores de Internet reconocen a muchas de estas autoridades certificadoras automáticamente y permiten agregar manualmente a las que no reconocen.

Si la llave privada del tenedor ha sido violada, si la persona ha dado da- tos incorrectos o si hay copias falsas de ésa llave, el certificado puede ser re- vocado. Las llaves revocadas que aún no están vencidas son colocadas en una Lista de Revocación de Certificados (CRL, Certificate Revocation List), estas listas tienden a crecer con rapidez pero su actualización es lenta.

La Figura I, muestra un certificado emitido por VeriSign, una de las auto- ridades certificadoras más fuertemente reconocidas. El certificado fue tomado de la página www.cti.com.ar que utiliza el comercio electrónico para hacer el pago de la factura de los clientes por medios electrónicos de pago. El acceso al certificado se logra haciendo doble clic sobre el candadito 10 que aparece en el Internet Explorer al entrar a esta página o accediendo al menú Archivo, en la opción Propiedades del Internet Explorer.

En la Figura J se observa un sitio que promociona su seguridad de fo rma explícita, poniendo en su página principal un vinculo a su certificado digital.

Direcciones falsas

Es muy simple redirigir a un usuario a una página que parezca otra, por ejemplo, si yo doy la dirección www.microsoft.com@3358557665 aunque pa- rezca absurdo va a datafull. ¿Por qué? Porque el número que figura detrás de la @ es el número de IP de datafull en formato longbyte y la @ es la encargada de indicarle los parámetros a la página. De este modo es sencillo engañar a alguien que quiere hacer una compra, dándole una dirección con estas caracte- rísticas, el usuario, entra al sitio, parece que está todo en orden, ingresa los datos de tu tarjeta y del otro lado le realizan los cargos sin enviarle nada. Pri n- cipalmente, estas técnicas toman ventaja del formato estándar de direcciones.

Figura I.: Descripción de un certificado digital.

Figura J.: Promoción de la seguridad de un sitio.

El formato completo de una dirección HTTP es, por ejemplo: http://usuario:password@host.com, entonces, si logramos esconder, el nombre del host (esto se logra reemplazando host.com por el número IP), podemos poner adelante de la arroba lo que queramos. Existen páginas como http://people.freenet.de/bxxxxj/ que divulgan esta información y convierten un URL a su equivalente en formato longbyte para ayudar a los que pretendan realizar engaños.

Por lo tanto no debemos confiar en sitios que no certifiquen su nombre ya que podríamos creer estar en un lado y estar en otro y si el sitio falso usa facilidades criptográficas aún veríamos el candadito y estaríamos confiados…

Pero no es malo que esto se sepa, ni peligroso; al contrario, mientras más sepamos de los peligros que nos rodean más abiertos tendremos los ojos para defendernos.

Figura K.: Descripción extensa de un certificado digital.

Robo y falsificación de certificados digitales

¿Qué sucede si el certificado que ofrece el servidor como prueba es un certificado falsificado o robado de otro servidor?.

Este problema existe con algunas versiones de Microsoft Internet Explo- rer y pone a los usuarios en una situación de inseguridad para la compra a tra- vés de Internet. A continuación se detalla el problema y se demuestra con ejemplo práctico.

Para corroborar la autenticidad de los sitios y los usuarios que acceden a ellos, se utilizan certificados que deben ser instalados en nuestra computadora. Por ejemplo, si manejamos una cuenta bancaria vía Web, en algún momento la institución bancaria debe habernos remitió un certificado que nos permite ac- tuar en nuestra cuenta. La tarea fundamental de esta certificación, es demos- trar que quienes se conectan, cliente y servidor, son quienes dicen ser, y ade- más se implementa una codificación única entre ambos. Sin embargo, si se logra falsificar dichos certificados se podría tomar el control de la cuenta. Existe un método, llamado "hombre en el camino", en el que el atacante intercepta la comunicación entre dos partes haciéndoles creer a cada una de ellas que se comunica con la otra, cómo observamos en la Figura L. Este tipo de ataque puede permitir "secuestrar" una conexión para remitir el certificado falso sin el conocimiento de la víctima. También logra engañar al cliente para que este crea ver el certificado que está esperando, y que además suponga que provie- ne del verdadero servidor seguro.

Documento de práctica de certificación

Las autoridades certificadoras publican un documento de práctica de certificación donde describen qué políticas y procedimientos se siguen para emitir y revocar certificados digitales ya que no existen estándares a seguir respecto a condiciones para emitir certificados. Esto impide su procesamiento automático.

Las autoridades certificadoras van tendiendo a adoptar el certificado X.509 v3 como un modelo para certificar llaves públicas. Muchos protocolos criptográficos lo utilizan. La Figura M muestra la estructura esquemática del certificado X.509 v3. Cuando nos fijamos en las propiedades de una página con transferencia de datos encriptados, nos muestra un mensaje como el de la Fi- gura N.

Figura L.: Ataque de hombre en el camino.

Figura M.: Estructura esquemática de un certificado X.509 típico.

Figura N.: Propiedades de una página con transferencia de datos encriptados.

Ventajas de los certificados

• desde el punto de vista del consumidor

Proveen una forma sencilla de verificar la autenticidad de una or- ganización antes de darle información digital.

Da la tranquilidad de tener una dirección física y un nombre legal de la organización para poder emprender acciones legales en caso de ser ne- cesario.

• desde el punto de vista del comerciante

Proveen una forma sencilla de verificar la dirección de correo electrónico del cliente.

Elimina la necesidad de utilizar nombre de usuario y clave de ac- ceso; lo cual ahorra costos de administración y evita que más de un usuario compartan el mismo nombre y clave. Aunque es posible compartir una llave secreta el riesgo que esto presenta para el usuario puede ser mayor que los beneficios obtenidos al hacerlo.

Tipos de certificados

A continuación veremos los distintos tipos de certificados disponibles hoy en día:

• Certificados de autoridades certificadoras

Se utilizan para certificar otro tipo de certificados. Contienen el nombre y la llave pública de la autoridad certificadora, pueden ser auto firmados o firma- dos por otra organización. Por lo general se incluyen directamente en los nave- gadores.

• Certificados de servidores

Contienen la llave pública de un servidor, el nombre de la organización que lo administra, el nombre de anfitrión en Internet y la llave pública del servi- dor. Cada servidor que utilice facilidades criptográficas debe tener un certifica- do de servidor. Cuando el navegador se conecta a un servidor Web mediante el protocolo criptográfico, el servidor le envía su llave pública dentro de un certifi- cado X.509 v3 el cual autentica la identidad del servidor y distribuye la llave pública que el cliente utilizará para encriptar la información que enviará al ser- vidor. Un certificado contiene los siguientes campos:

Longitud de llave de la firma.

Número de serie del certificado, que es único dentro de cada au- toridad certificadora.

Nombre distintivo.

Especificación del algoritmo utilizado para la firma.

Nombre del servidor de dominio.

Para obtener un certificado para un servidor es necesario seguir los si- guientes pasos:

Generar un par de llaves pública / privada de RSA11 mediante un programa proporcionado por el proveedor del servidor.

Enviar la llave pública, el nombre distintivo y el nombre del servi- dor de dominio a la autoridad certificadora que va a proporcionar el certificado.

Seguir el procedimiento que la autoridad certificadora requiera.

Si la solicitud es aprobada se recibe el certificado el cual se insta- la con algún programa proporcionado por el proveedor del servidor.

Los certificados expiran generalmente un año después de su emisión, cuando esto sucede se debe obtener un nuevo certificado. La razón por la que expiran es para disminuir la probabilidad de que la llave privada sea violada y aumentar la confianza en las llaves públicas. Si el navegador se conecta a un servidor Web con facilidades criptográficas y el contenido de un campo del cer- tificado no corresponde con lo esperado, el navegador alerta al usuario o no permite la conexión dependiendo de la configuración de seguridad del mismo. Mostrando un mensaje como el de la Figura O.

• Certificados personales

Contienen el nombre y la llave pública de un individuo, también pueden tener información como su correo electrónico, dirección postal, o cualquier otro atributo de la persona. Los siguientes son algunos de sus usos:

Elimina la necesidad de nombre de usuario y clave de acceso.

Se pueden utilizar para enviar correo encriptado.

Si el certificado contiene datos sobre la persona puede utilizarse para discriminar la información que recibirá.

• Certificados de editor de software

Se utilizan para firmar software que va a distribuirse. Mejora la confiabili- dad del software distribuido por Internet reduciendo la posibilidad de descargar programas hostiles como virus y caballos de Troya 12.

Hoy en día existen varias propuestas para la firma de código: Authenti- code de Microsoft, JAR un formato de archivo Java desarrollado por JavaSoft y Netscape el cual es un archivo ZIP firmado digitalmente y otras.

Recordamos que la tecnología de Firma Digital no hace que el software sea más seguro sino que permite a las autoridades certificadoras revocar certi- ficados de editor de software a aquellos que distribuyan programas dañinos; es decir que proveen una solución una vez que el daño está hecho.

Figura O.: Mensaje de advertencia cuando un certificado ha caducado o aún no ha entrado en

vigencia.

Hasta aquí se ha nombrado a la criptografía y a las facilidades criptográ- ficas como una herramienta básica para proveer de seguridad a una transac- ción en línea a través de Internet. En este capítulo entraremos en detalle a la definición de la criptografía y su aplicación en la arquitectura de seguridad de un sitio Web. [L-4] [L-9] [W-6] [W-14] [W-15]

La criptografía

Es un conjunto de técnicas empleadas para conservar la información de forma segura. Está basada en la transformación de los datos de forma tal que sean incomprensibles para los receptores no autorizados, en cambio para aquellos receptores que posean la autorización correspondiente, los datos que conforman dicha información resultarán perfectamente comprensibles.

En la transformación se pueden identificar 2 procesos bien definidos (Fi- gura P):