Seguridad y Competencias Profesionales Curso 2011-12 Tarea 4.1 Grupo 1: Antonio Balderas Alberico Carlos María Cornejo Crespo Alessandro Mantovani Rubén Moreira Fernández Alfonso Sendra Gamero Localice 3 ejemplos de software y hardware disponibles para conseguir cifrado de disco. -Rohos Mini Drive: Software para proteger contenido privado cifrando tu pendrive para que sólo puedas acceder a él con tu contraseña. -TrueCrypt: Este software ofrece la posibilidad de crear discos virtuales o aprovechar una partición ya existente para guardar ficheros cifrados. Podemos escoger entre varios algoritmos de cifrado, como AES, Serpent o Twofish, y determinar de cuántos megas o gigas será la unidad virtual. Allí podremos guardar cualquier documento de forma segura y cómoda. TrueCrypt se integra con el explorador de archivos que usemos, es fácil de usar y permite crear hasta 32 unidades diferentes. -DiskCrypt Mobile: DiskCrypt Mobile es el primer disco duro del mundo que emplea la seguridad de cifrado mediante una tarjeta inteligente. Ofrece cifrado de hardware en tiempo real para proteger los datos en el disco y la tecnología de tarjeta inteligente para autenticar al propietario. Diseñado para cifrar todos los datos "on-the-fly", DiskCrypt Mobile no requiere previa instalación de software y funciona independientemente del sistema operativo que sea utilizado. El teclado integrado permite que introduzca su PIN directamente en la unidad, esto asegura la protección contra los key-loggers, que podrían grabar las pulsaciones de teclas. Combina un completo cifrado de disco junto con la autenticación basada en tarjeta inteligente. 1 Seguridad y Competencias Profesionales Curso 2011-12 ¿Qué condiciones han de cumplirse para realizar el ataque cold-boot? ¿Le parece un ataque práctico? ¿En qué situaciones podría ser útil para los cuerpos de seguridad? Condiciones: Acceso físico al equipo. Que el equipo esté encendido. Actuar rápidamente, ya que disponemos de un tiempo limitado (mejor si se dispone de nitrógeno líquido). ¿Ataque práctico? No es un ataque tan práctico como puede ser llevarse una copia de seguridad, pero sí resulta práctico bajo nuestro punto de vista porque puede ser muy sencillo robar información de discos duros encriptados de portátiles. Uso para los cuerpos de seguridad: Se puede utilizar para el análisis forense de equipos informáticos encriptados incautados a posibles delincuentes. Leer (en grupo) 1-2 ensayos tecnológicos y 1-2 ensayos de aspectos psicológicos de entre los seleccionados de la web (categorías "Physical Security" y "Psychology of Security") de Bruce Schneier y entregar conclusiones sobre las lecturas realizadas. Ensayo de aspectos psicológicos. Bruce Schneier - People Understand Risks, But Do Security Staff Understand People? El autor nos explica que el ser humano es consciente, aunque sea de forma intuitiva, de los riesgos que hay a su alrededor y que actúa para protegerse contra ellos. Esto es algo bastante obvio, si no fuera así no existiríamos como especie. La pregunta que se plantea es por qué en una empresa los empleados desestiman los riesgos de seguridad aun siendo conscientes de ellos. La respuesta que nos ofrece también es bastante obvia, no todos los riesgos generan el mismo nivel de alarma en la persona. Esto es un principio general que por supuesto también se aplica en un entorno empresarial. El empleado se protegerá contra los riesgos más nocivos incluso si ello conlleva asumir unos riesgos menores. La conclusión que obtiene es que el mayor riesgo en una empresa es que no hagas tu trabajo y te despidan. El trabajador asumirá riesgos menores (en este caso los relacionados con la seguridad) para protegerse del riesgo mayor, que no pueda realizar su trabajo y lo despidan. Para solucionar este problema hay que concienciar al trabajador de la gravedad de los riesgos de seguridad y la única forma de conseguirlo es aplicar fuertes sanciones al que los ignore. 2 Seguridad y Competencias Profesionales Curso 2011-12 Texto Técnico Bruce Schneier - Lockpicking and the Internet De todos es sabida la importancia de la seguridad en los elementos con los que trabajamos o conocemos a diario y la sensación de seguridad necesaria para todos tras una cerradura. Bruce Schneier en su ensayo “Lockpicking and the Internet” nos comenta acerca de la multitud de diferentes problemas de seguridad que tienen o podrían tener y ser vulnerabilidades los diferentes tipos de bloqueos a nivel de cerradura a lo largo del tiempo, aplicando protecciones tanto físicas, biométricas y electrónicas o digitales. Protecciones Físicas: Nada más empezar, el autor nos indica que no son buenas medidas las protecciones físicas puesto que son muy vulnerables a un intento de saltarse esa protección. El autor achaca a Internet, o en definitiva, al acceso libre del aprendizaje sobre cualquier tema la vulnerabilidad de este tipo de protecciones haciendo que la información de cómo quebrantar una cerradura pueda ser conocida por todos. En la red encontramos mucha documentación, manuales, videos y otros elementos sobre cómo abrir bloqueos tanto comunes como especialmente fabricados para la protección física de algo. Protecciones Biométricas: El autor enfoca el estudio del artículo en cuanto a seguridad biométrica a teclados de huella digital, los cuales no son viables en lugares gran humedad o en circunstancias en las que se dificulte la correspondiente lectura de la huella por circunstancias externas como material o líquidos que puedan usar los usuarios. Bajo esos casos, al final para proteger un sistema volveremos a necesitar un bloqueo físico de cerradura o llave con las consecuencias que hemos visto con anterioridad. Protecciones Electrónicas: Por todos son conocidas algunas de las incidencias comunes de seguridad que existen en sistemas protegidos electrónicamente. Por ejemplo, si los usuarios no modifican su clave por defecto o no la cambian tras pasado cierto tiempo empiezan a existir problemas serios de seguridad. Vía Internet: El acceso a los mismos protegidos por una conexión online trae consigo todos los problemas de este entorno, ya que ahora estamos abiertos también a un ataque directo vía online sin presencia física aumentando o cambiando las diferentes vulnerabilidades de nuestra seguridad. Como conclusión podemos destacar la necesidad de conocer las vulnerabilidades que tendrá nuestra cerradura y el valor que tiene la protección para elegir la mejor solución posible. 3