Changeset 408f320c in libros
- Timestamp:
- Oct 16, 2014, 8:55:13 AM (10 years ago)
- Branches:
- revisionfinal
- Children:
- 80a5086
- Parents:
- f5a000d
- git-author:
- Dhionel Díaz <ddiaz@…> (12/10/14 11:01:41)
- git-committer:
- aaraujo <aaraujo@…> (16/10/14 08:55:13)
- File:
-
- 1 edited
Legend:
- Unmodified
- Added
- Removed
-
maquetacion/capitulo1/contrasenas.tex
r9ec9411 r408f320c 4 4 Las contraseñas son quizás, el método más utilizado para asociar una identidad a 5 5 personas en el mundo digital. Una contraseña en este ámbito se refiere a una 6 palabra secreta que se utiliza generalmente en combinación con un nombre de 6 secuencia de caracteres secreta que se utiliza generalmente 7 en combinación con un nombre de 7 8 usuario o correo electrónico para obtener acceso a determinados recursos de un 8 9 sistema informático. El sistema informático puede estar en la web, funcionar en … … 18 19 En primer lugar, para construir un sistema de contraseñas se necesita un 19 20 almacén de datos, en el cual se guarden los datos vinculados 20 con la clave , yque pueden representar el ámbito de operación de un usuario21 con la clave que pueden representar el ámbito de operación de un usuario 21 22 dentro de un sistema informático, lo cual incluye esquemas de autorización para 22 23 operar sobre objetos o generar acciones. 23 24 24 Generalmentelos almacenes de datos para los esquemas de contraseñas se25 Muchas veces los almacenes de datos para los esquemas de contraseñas se 25 26 construyen usando archivos de texto (por ejemplo, los sistemas Linux o Unix que 26 27 utilizan el archivo \textit{/etc/shadow}), o también es muy frecuente utilizar 27 28 un conjunto de relaciones u objetos en una base de datos. 28 29 29 Algunas de las reglas básicas para almacenar contraseñas se muestran a continuación: 30 Algunas de las reglas básicas para almacenar contraseñas 31 se muestran a continuación: 30 32 31 33 \begin{itemize} 32 \item Utilizar esquemas de seguridad para el resguardo de la base de datos acorde con las reglas generales de administración de servidores, sistemas de cómputo embebido o cualquier otro tipo de sistema donde resida el almacén de datos. 33 \item No guardar las contraseñas en texto plano, en su lugar utilizar algoritmos (con la suficiente fortaleza contra ataques) de una sola vía para transformar las claves que ingrese el usuario. 34 \item Implementar políticas y protocolos de creación y asignación de claves tales como: vinculación a dos o más correos electrónicos; prueba de fortaleza de contraseñas; monitorear los accesos de los usuarios por lugar, frecuencia; operaciones entre otras. 34 \item Utilizar esquemas de seguridad para el resguardo de la base 35 de datos acorde con las reglas generales de administración de servidores, 36 sistemas de cómputo embebido o cualquier otro tipo de sistema 37 donde resida el almacén de datos. 38 \item No guardar las contraseñas en texto plano, en su lugar utilizar 39 algoritmos (con la suficiente fortaleza contra ataques) de una sola 40 vía para transformar las claves que ingrese el usuario. 41 \item Implementar políticas y protocolos de creación y asignación de 42 claves tales como: vinculación a dos o más correos electrónicos; prueba 43 de fortaleza de contraseñas; monitorear los accesos de los usuarios 44 por lugar, frecuencia; operaciones entre otras. 35 45 \item Realizar auditorias periódicas a todo el proceso de gestión de claves. 36 46 \end{itemize} 37 47 38 Uno de los objetivos que debe tener cualquier sistema de protección es proveer al usuario de 39 instrumentos para mejorar su interacción con los sistemas informáticos, evitándole hacer tareas engorrosas o difíciles, 40 sin que esta prerrogativa desmejore significativamente los niveles de seguridad. En este sentido, 41 actualmente están disponibles varias tecnologías vinculadas con la gestión de contraseñas, que 42 generalmente son implementadas por todos los navegadores para la Internet, entre ellas están: 48 Uno de los objetivos que debe tener cualquier sistema de protección 49 es proveer al usuario de instrumentos para mejorar su interacción 50 con los sistemas informáticos, evitándole hacer tareas engorrosas o difíciles, 51 sin que esta prerrogativa desmejore significativamente los niveles de 52 seguridad. En este sentido, actualmente están disponibles varias tecnologías 53 vinculadas con la gestión de contraseñas, que generalmente son implementadas 54 por todos los navegadores para la Internet, entre ellas están: 43 55 44 56 45 57 \begin{itemize} 46 \item \textit{\textbf{cookies}}: son pequeñas porciones de información sobre los datos de acceso a una aplicación (sesión) . 58 \item \textit{\textbf{galletas informáticas}}: también denominadas ``cookies'', 59 son pequeñas porciones de información sobre los datos de acceso a 60 una aplicación (sesión). 47 61 \item \textit{\textbf{listas de claves}}: Es una lista donde se encuentran 48 62 asociadas las claves y nombres de usuarios con los sitios que se visitan en la 49 63 Internet. Cuando el usuario visita un sitio web que se encuentra en la lista, 50 el navegador ingresa automáticamente el nombre de usuario y su clave en el formulario. 51 \item \textit{\textbf{Sistemas centralizados o locales de gestión de claves}}: son aplicaciones en 52 la web o de uso local (computadora,tableta o teléfono móvil) para gestionar las claves de todos los 53 sistemas al que los usuarios ingresan desde sus dispositivos electrónicos. 64 el navegador ingresa automáticamente el nombre de usuario y su clave en el 65 formulario. 66 \item \textit{\textbf{Sistemas centralizados o locales de gestión de claves}}: 67 son aplicaciones en la web o de uso local (computadora,tableta o teléfono 68 móvil) para gestionar las claves de todos los sistemas al que los usuarios 69 acceden desde sus dispositivos electrónicos. 54 70 \end{itemize} 55 71 56 72 57 Por otro parte, para que una contraseña sea resistente a ataques de fuerza bruta, debe contar con varias propiedades. 73 Por otra parte, para que una contraseña sea resistente a ataques de 74 fuerza bruta, debe contar con varias propiedades como las descritas más adelante. 58 75 Muchos sistemas verifican las claves antes de que sean asignadas, pero no pueden 59 asegurar de forma 60 completa que la contraseña es inviolable dado que mucho de la responsabilidad de uso reside en el 61 propietario de la clave: el usuario. 76 asegurar de forma completa que la contraseña es inviolable dado que mucho de 77 la responsabilidad de uso reside en el propietario de la clave: el usuario. 62 78 63 Generalmente para que una contraseña sea considerada fuerte, debe tener por lo menos las siguientes propiedades: 79 Generalmente para que una contraseña sea considerada fuerte, debe tener por 80 lo menos las siguientes propiedades: 64 81 65 82 \begin{itemize} 66 \item Ser lo suficiente larga. Hoy en día, se considera ocho (8) caracteres la extensión 67 mínima de una contraseña para la mayoría de los sistemas informáticos, este número puede 68 disminuir si se acompaña con el uso de una tarjeta o elemento físico seguro (\textit{token}). 69 \item No ser una palabra de diccionarios. 83 \item Ser lo suficiente larga. Hoy en día, se considera ocho (8) caracteres 84 la extensión mínima de una contraseña para la mayoría de los sistemas 85 informáticos, este número puede disminuir si se acompaña con el uso de una 86 tarjeta o elemento físico seguro (\textit{ficha} o \textit{token}). 87 \item No ser una palabra contenida en diccionarios. 70 88 \item Estar compuesta por letras minúsculas, mayúsculas y caracteres especiales. 71 89 \end{itemize} 72 90 73 Muchos sistemas informáticos cuentan entre sus políticas el cambio periódico de claves por parte de 74 los usuarios, con respecto a ello Schneier en \cite{SCHNEIER:14} considera que la política citada 75 puede ser contraproducente y no se recomienda, debido a que si ya se cuenta con una contraseña 76 fuerte no existe la necesidad de cambiarla. 91 Muchos sistemas informáticos cuentan entre sus políticas el cambio 92 periódico de claves por parte de los usuarios, con respecto a ello 93 Schneier en \cite{SCHNEIER:14} considera que la política citada 94 puede ser contraproducente y no se recomienda, debido a que si ya 95 se cuenta con una contraseña fuerte no existe la necesidad de cambiarla. 77 96 78 97 Se estima que las contraseñas como método de control de acceso seguirán siendo … … 80 99 atención en los aspectos de gestión organizacional y técnica de este tipo de 81 100 herramienta, para lograr conectar de manera eficiente las políticas con las 82 aplicaciones y con las personas, tomando en cuenta que no se debe disminuir la83 ergonomía significativamente en pro de la seguridad. 101 aplicaciones y con las personas, tomando en cuenta que no se debe disminuir 102 demasiado la ergonomía en pro de la seguridad. 84 103 85 104
Note: See TracChangeset
for help on using the changeset viewer.