Infraestructura, Protocolos y aplicaciones para el manejo de llaves

Publicación especial NIST 800-57(Parte 3)
Resumen artículo: por Joel Elíaz R.
http://www.itl.nist.gov/publications/view_pub.cgi?pub_id=905108
Según publicación especial del Instituto Nacional de Estándares y Tecnologías, NIST por sus siglas
en inglés, lo elementos disponibles para la administración de llaves son los siguientes:
Infraestructura de llaves públicas (PKI’s): Usadas para la distribución de llaves públicas en
servicios de información que incluyen confidencialidad, autenticación, integridad y firmas. El
sistema usa algoritmos de llaves públicas basadas en dos laves, una pública que puede ser
conocida “públicamente” y una privada que debe ser mantenida en secreto por el propietario.
Estos algoritmos son usados para establecer servicios de seguridad entre entidades, asegurando
que la data transmitida no ha sido modificada e identificando a quien la origina. Las aplicaciones y
protocolos incluyen el Protocolo de Seguridad de Internet (Internet Protocol Security – IPsec),
Seguridad de la Capa de Transporte (Transport Layer Security – TLS), Protocolo S/MIME y algunas
versiones de Kerberos.
IPSec: Es una suite de protocolos de seguridad para las comunicaciones en internet, a través de la
capa de red, operando con el protocolo IP. Este es frecuentemente usado para establecer redes
provadas virtuales (VPN), las cuales permiten proteger las transmisiones que se realizan a través
de una red pública. IPsec opera mediante la inserción de cabeceras que proveen protección de
integridad, confidencialidad, autenticación de origen, trabajando mediante algoritmos
criptográficos que se acoplan a los protocolos IPv4 e IPv6.
TLS: robusto protocolo usado para proteger enlaces tales como servicios de autenticación vía
puntos de acceso inalámbricos. El protocolo está dividido en dos niveles:
Protocolo de registro TLS (TLS Record Protocol).
Protocolo de mutuo acuerdo TLS (TLS Handshake Protocol).
El de más bajo nivel es el Protocolo de Registro, que se implementa sobre un protocolo de
transporte fiable como el TCP. El protocolo proporciona seguridad en la conexión con dos
propiedades fundamentales:
· La conexión es privada. Para encriptar los datos se usan algoritmos de cifrado simétrico.
Las claves se generan para cada conexión y se basan en un secreto negociado por otro
protocolo (como el de mutuo acuerdo). El protocolo también se puede usar sin
encriptación.
· La conexión es fiable. El transporte de mensajes incluye una verificación de integridad.
El Protocolo de mutuo acuerdo, proporciona seguridad en la conexión con tres propiedades
básicas:
· La identidad del interlocutor puede ser autentificada usando criptografía de clave pública.
Esta autentificación puede ser opcional, pero generalmente es necesaria al menos para
uno de los interlocutores.
· La negociación de un secreto compartido es segura.
· La negociación es fiable, nadie puede modificar la negociación sin ser detectado por los
interlocutores.
S/MIME: Provee servicios de seguridad criptográfica en el manejo de mensajes electrónicos
mediante el uso de firmas digitales, controlando la integridad y el no repudio del origen. Para ello
requiere de una suite de algoritmos para:
· Creación de firmas digitales.
· Generación de valores Hash.
· Establecimiento de llaves.
· Encriptación de los mensajes.
KERBEROS: Mecanismos de autenticación que fue desarrollado por el MIT para habilitar la
seguridad de autenticación de los usuarios a través de redes no protegidas. El núcleo de una
arquitectura de Kerberos es el KDC (Key Distribution Server). Los almacenes de información de
autenticación KDC y lo utiliza para autenticar a los usuarios de forma segura y servicios.
Esta autenticación se llama seguro porque:
· No aparecen en texto plano
· No se basa en la autenticación por el sistema operativo anfitrión
· No se fía de base sobre las direcciones IP de
· No requiere de la seguridad física de las máquinas de la red
El KDC actúa como un tercero de confianza en el desempeño de estos servicios de autenticación.
Debido a la función crítica de la KDC, KDC múltiples son normalmente utilizados. Cada uno de los
almacenes KDC una base de datos de los usuarios, servidores y claves secretas.
Los clientes de Kerberos son las aplicaciones de red normal, que han sido modificados para el uso
de Kerberos para la autenticación. En el argot de Kerberos, que han sido Kerberos.