Módulo 18: Cifrado

1. Define la encriptación y su propósito en la ciberseguridad. ¿Por qué es fundamental en la protección de datos?

   Es el acto de ocultar datos bajo algún procedimiento ordenado, con el fin de que únicamente quien esté autorizado a verlo, sea capaz de hacerlo.

   Es fundamental en la ciberseguridad, porque ayuda a cumplir, primariamente con el principio de confidencialidad, y con un poco de consideración, los de autenticación e integridad, que están relacionados.

2. Explica la diferencia entre datos en reposo y datos en tránsito. Incluye ejemplos de cada uno.

   Los datos en reposo se encuentran almacenados. Ejemplo: información almacenada en una base de datos.

   Los datos en tránsito están en proceso actual de transferencia. Ejemplo: un documento que se está descargando.

Encriptación Simétrica

1. Define la encriptación simétrica. Describe su funcionamiento y menciona la necesidad de compartir una clave secreta.

   El cifrado simétrico debe su nombre a la necesidad de compartir una clave secreta entre los participantes del proceso de transferencia.

   A grandes rasgos, el cifrado simétrico opera con una única clave, la cual sirve tanto para cifrar como para descifrar un bloque de información.

2. Proporciona ejemplos de algoritmos simétricos, como DES, 3DES y AES. Describe sus ventajas y desventajas, así como sus aplicaciones típicas.

   AES: Advanced Encryption Standard
   Ventajas	Desventajas	Aplicaciones
   Claves largas (de 128, 192 y 256 bits) Comúnmente utlizado Difícil de forzar	Su estructura algebráica es muy sencilla Todos los bloques se cifran del mismo modo	Herramientas de archivo y de compresión Cifrado de sistemas de archivos Cifrado de discos y particiones

   DES: Data Encryption Algorithm
   Ventajas	Desventajas	Aplicaciones
   Diseñado para ser muy eficiente Ampliamente documentado e implementado a lo largo del tiempo Es un estándar de ANSI e ISO	Utiliza claves muy cortas Vulnerable ante ataques de fuerza bruta	No es utilizado a menudo en la actualidad.

   3DES: Data Encryption Algorithm
   Ventajas	Desventajas	Aplicaciones
   Es más fuerte que su versión no iterada Altamente compatible con otros sistemas que implementan DES Usa claves de varios tamaños	Muy lento en comparación con métodos de cifrado modernos No es suficientemente seguro ante el poder computacional de la actualidad	Protección de datos VPN Firmas digitales

Encriptación Asimétrica:

1. Define la encriptación asimétrica. Explica cómo funciona el sistema de clave pública y clave privada.

   El cifrado asimétrico, a diferencia del simétrico, usa dos claves para cumplir el cometido de cifrar y descifrar información.

   Usualmente, una de las dos claves se usa para cifrar la información, mientras que la otra la descifra. Esto permite que no sea necesario compartir una clave secreta, incrementando la seguridad.

2. Menciona algoritmos como RSA y PKI, y analiza sus ventajas, desventajas y aplicaciones en el mundo real

   RSA: Rivest-Shamir-Adleman
   Ventajas	Desventajas	Aplicaciones
   Es un método bastante robusto ante ataques de fuerza bruta Implementado ampliamente, por lo que es fácil de integrar	Más lento que AES (un método de cifrado simétrico) No es muy bueno con grandes cantidades de datos Posiblemente vulnerable ante ataques basados en computación cuántica	Aplicaciones de comunicación web seguras, como HTTPS Cifrado de correo electrónico Firmas digitales

   PKI no es un algoritmo de cifrado.

Elige un ejemplo de encriptación simétrica y explícalo. Agrega detalles sobre cómo se establece la comunicación segura y los beneficios de este método.

Este tipo de preguntas incentivan el uso de ChatGPT. Algo me dice que este cuestionario también fue hecho con ChatGPT. Aquí está mi respuesta, grandemente apoyada por ChatGPT:

Ejemplo en detalle

1. Saludo (HELLO): La aplicación cliente, como un navegador web, inicia una conexión con un servidor, y pide una conección segura.
2. Certificado del servidor El servidor responde enviando su certificado, dentro del cual aparece una clave pública, y una firma de una Autoridad de Certificación.
3. Verificación del certificado: El cliente (navegador web) verifica la validez del certificado.
4. Generación de la clave de sesión: El cliente genera una clave simétrica de sesión.
5. Cifrado de la clave de sesión: El cliente usa la clave pública del servidor para cifrar la clave simétrica recién generada, y la envía al servidor.
6. Descifrado de la clave de sesión: El servidor usa su clave privada para descrifrar la clave de sesión generada por el cliente.
7. Conexión segura: Ahora ambas partes comparten la clave simétrica, y pueden comunicarse por medio de mensajes cifrados.

Beneficios

• Conficencialidad: La información se hace privada gracias al cifrado simétrico.
• Autenticidad: El cliente es capaz de verificar la identidad del servidor por medio de su certificado.
• Eficiencia: Utiliza el cifrado asimétrico para establcer la conexión y poder utilizar cifrado simétrico, el cual es más rápido.

Describe un caso en el que se utiliza la encriptación asimétrica para realizar una transacción en línea. Analiza cómo la clave pública se utiliza para garantizar la confidencialidad y cómo la clave privada asegura que solo el detinatario pueda acceder a la información.

Explicado en la respuesta anterior.

Realiza una tabla comparativa que enumere las principales ventajas y desventajas de la encriptación simétrica en comparación con la asimétrica, enfocándote en factores como:

• Velocidad y eficiencia
• Seguridad y vulnerabilidades
• Aplicaciones en el mundo real

`

	Simétrica	Asimétrica
Velocidad y eficiencia	Más eficiente debido a su menor complejidad	No es eficiente, ya que requiere de una cantidad mayor de operaciones para poder cifrar y descifrar infomación.
Seguridad y vulnerabilidades	Vulnerable, dado principalmente a que la clave compartida puede ser interceptada.	Más segura, ya que la clave privada y la clave pública operan en conjunto, pero no pueden revertir por sí mismas el cifrado.
Aplicaciones en el mundo real	Debido a su mayor velocidad, es más utilizada en comunicaciones donde hay grandes cantidades de datos.	A pesar de ser más lenta, se utiliza en conjunto con el cifrado simétrico para realizar transacciones de claves compartidas. También se usa en el ámbito de las firmas digitales.

Investiga y presenta tres casos de uso donde la encriptación ha fallado o ha sido comprometida. Analiza las consecuencias de estos fallos y cómo podrían haberse evitado.

Heartbleed (2014)

Se introdujo una vulnerabilidad a la extensión heartbleed, de OpenSSL, la cual permitió que unos atacantes lograran extraer datos de todos los servidores afectados por ésta. Como resultado, muchas claves privadas fueron reveladas, y credenciales, además de otros conjuntos de información privada, expuestos. Este fallo pudo haber sido prevenido si se hubiera aplicado mayor rigor a la hora de probar el código de la extensión.

Equifax (2017)

Unos atacantes lograron aprovechar una vulnerabilidad encontrada en la aplicación web de Equifax. Algunos datos estaban cifrados, pero no lo suficiente, porque no se daban buenas prácticas de rotación de claves, y se usaban protocolos no muy robustos. Como resultado, la organización, pobrecita, perdió mucha plata, y mucha información fue revelada. Este fallo se pudo haber evitado, de haber implementado un mayor control de pruebas en su aplicación web, así como la implementación de protocolos de cifrado más robustos y de cambio de claves más frecuente.

Heartland (2008)

El primer ataque se dio en 2008, cuando unos atacantes lograron inyectar malware en la base de datos SQL del sitema de pago Heartland, de modo tal que pudieron extraer información descifrada de muchas tarjetas de crédito. Mucha información fue perdida, y mucha gente salió rascando, me imagino; pero como siempre, pobrecita la organización, que es la que siempre sufre. El problema se pudo haber evitado NO ALMACENANDO DATOS DE TARJETAS DE CRÉDITO EN UNA BASE DE DATOS.

Explica cómo la encriptación protege la confidencialidad de la información en diferentes sectores (bancos, comercio electrónico, etc.). Utiliza ejemplos para respaldar tus afirmaciones.

Bancos

Los bancos usan protocolos de cifrado, como SSL/TLS para llevar a cabo transacciones seguras en línea.

Comercio electrónico

Los negocios en línea que también llevan a cabo transacciones incorporadas dentro de su sistema de compras, usan el cifrado para ocultar información de pago y personal.

Salud

Debido a regulaciones de privacidad en la salud, es importante que la información relacionada a la salud de las personas sea vista únicamente por las personas autorizadas. Este es otro ámbito en el que se usa el cifrado para lograr este cometido.

Investiga las regulaciones existentes que obligan el uso de encriptación para la protección de datos (por ejemplo, GDPR, PCI-DSS). Describe cómo estas regulaciones afectan a las empresas y a la implementación de medidas de ciberseguridad.

GDPR

Hace obligatoria la implementación de medidas apropiadas, dentro de las cuales se incluye al cifrado, para que la información esté segura.

PCI-DSS

Significa "Payment Card Industry Data Security Standard", y como sugiere el nombre, está relacionado con el manejo de datos financieros y transacciones.

Impacto

La presencia de tantas regulaciones incrementa la conciencia y posición ética de la sociedad con respecto a la importancia de la privacidad. Aunque no creo que le importe un pepino a las compañías. A muchas, más bien se les hace más difícil gestionar correctamente la información privada y, de vez en cuando (siempre), hasta la venden.