TEMA 5 EJERCICIO 9: OPENSSL

Investiga acerca de la aplicaión OpenSSL.    ¿Qué utilidades posibilita?

OpenSSL es un proyecto de software libre basado en SSLeay, desarrollado por Eric Young y Tim Hudson.

Consiste en un robusto paquete de herramientas de administración y bibliotecas relacionadas con la criptografía, que suministran funciones criptográficas a otros paquetes como OpenSSH y navegadores web (para acceso seguro a sitios HTTPS).

Estas herramientas ayudan al sistema a implementar el Secure Sockets Layer (SSL), así como otros protocolos relacionados con la seguridad, como el Transport Layer Security (TLS). OpenSSL también permite crear certificados digitales que pueden aplicarse a un servidor, por ejemplo Apache.

Para la instalación de OpenSSL no hay necesidad de complicarse mucho, pues viene como paquete en la mayoría de las actuales distribuciones de linux para instalar, ya que no es el propósito de este documento ser un HOWTO de instalación, se nombrarán algunos pasos a seguir para poder crear todo lo necesario para ocupar OpenSSL. El directorio por defecto para la instalación es /var/ssl/ y el archivo de configuración se encuentra en /usr/lib/ssl/openssl.cnf, las utilidades y otras librerías se encuentran en /usr/lib/ssl. Para crear un certificado raíz, se debe crear un certificado que sea firmado por nosotros mismos para poder actuar como autoridad certificadora de los certificados que sean creados en nuestro servidor, para esto se usa: 

• openssl req -new -x509 -keyout private/cakey.pem \ -out cacert.pem -days 3650.

La idea es tener este certificado accesible para que el resto de las personas puedan descargarlo e instalarlo en sus navegadores, por ende se pone en el servidor web, y además el servidor debe tener una entrada mime para archivos .crt, sin embargo siempre es probable que suplantar al servidor web y por ende suplantar al CA, por eso se recomienda tener más de una forma de obtener el certificado.

¿Qué tipo de algoritmos emplea? ¿Para qué sistemas operativos se encuentra disponible?

El formato por defecto para la aplicación OpenSSL es PEM. Para aplicaciones Java el formato DER suele encajar mejor con las necesidades de la aplicación en cuanto a la importación de claves privadas y certificados.

De modo genérico, los formatos PEM se suelen emplear en el mundo Unix/Linux, PKCS12 en el mundo Microsoft y el formato DER en el mundo Java.

Un archivo de certificado PEM si encriptar tiene este aspecto

-----BEGIN CERTIFICATE-----

MB4CGQDUoLoCULb9LsYm5+/WN992xxbiLQlEuIsCAQM=

-----END CERTIFICATE-----

PEM

Puede contener todas las claves privadas (RSA y DSA), las claves públicas (RSA y DSA) y los certificados (x509). Este es el formato por defecto de OpenSSL. Almacena los datos en formato DER codificado Base64, entre cabeceras ascii, de modo que es apropiado para transferencias en modo texto entre sistemas. Su extensión suele ser .pem.

TEMA 5. EJERCICIO 8: INSTALACIÓN DE CERTIFICADOS

¿Qué diferencias existen entre la instalación de un certificado en un servidor web y un servidor de certificaciones? 

Certificado de servidor WEB: Es aquel que permite identificar un servidor Web o una URL. Este certificado le permitirá establecer comunicaciones con sus clientes utilizando la tecnología SSL, el estándar para comunicaciones seguras en la Web. Su servidor se identificará a los clientes con el nombre del dominio donde se encuentra su servicio Web.

Servidor de certificaciones: Es una entidad de confianza, responsable de emitir y revocar los certificados digitales o certificados.


Busca cómo se instala y qué opciones ofrece el servidor de certificados integrados en el servidor IIS de Microsoft. Realiza una petición por parte de un cliente de un certificado digital.

Como primer paso necesitamos un servidor con IIS instalado. Una vez que tengamos eso, vamos al Panel de Control> Agregar o quitar programas> Agregar/Quitar componentes de Windows y seleccionamos: Servicios de Certificate Server

Cuando hacemos clic en siguiente, una advertencia se mostrará diciendo que una vez que hayamos instalado una CA en ese server, no podremos ni cambiarle el nombre ni cambiar el miembro a un dominio. De hacerlo, invalidaría los certificados emitidos.
La Enterprise CA se integra con Active Directory, otorgando certificados a los miembros de AD, con usos múltiples. Una Stand Alone CA no tiene integración con AD. En esta oportunidad, seleccionaremos las configuraciones por default y completaremos los datos pertinentes.
Vamos siguiendo los pasos.

Aquí le damos a Si

TEMA 5 EJERCICIO 7: EMPRESAS A LAS QUE SE PUEDE ACCEDER CON CERTIFICADO DIGITAL Y DNI-e

REALIZA UNA BÚSQUEDA DE SERVICIOS DE EMPRESAS, COMO BANCOS O ADMINISTRACIONES PÚBLICAS, A LOS QUE SE PUEDE ACCEDER DE FORMA SEGURA MEDIANTE CERTIFICADO DIGITAL Y DNI-e

Hay multitud de empresas a las que podemos acceder usando nuestro certificado digital. Entre ellas encontramos:

• AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA 
• BANCO DE ESPAÑA 
• BOLETÍN OFICIAL DEL ESTADO 
• CENTRO PARA EL DESARROLLO TECNOLÓGICO INDUSTRIAL 
• COMISIONADO PARA EL MERCADO DE TABACOS 
• COMISIÓN NACIONAL DE ENERGÍA
• COMISIÓN NACIONAL DEL MERCADO DE VALORES 
• COMISIÓN PARA EL MERCADO DE LAS TELECOMUNICACIONES 
• CONSEJO DE SEGURIDAD NUCLEAR 
• DIRECCIÓN GENERAL DE TRANSPORTES POR CARRETERA 
• DIRECCIÓN GENERAL DE LA GUARDIA CIVIL 
• DIRECCIÓN GENERAL DEL CATASTRO
•  FONDO ESPAÑOL DE GARANTÍA AGRARIA
•  INSTITUTO ESPAÑOL DE COMERCIO EXTERIOR 
• INSTITUTO NACIONAL DE ESTADÍSTICA
•  INSTITUTO DE CONTABILIDAD Y AUDITORÍA DE CUENTAS
•  INSTITUTO DE CRÉDITO OFICIAL
•  LOTERIAS Y APUESTAS DEL ESTADO 
• MINISTERIO DE ADMINISTRACIONES PÚBLICAS 
• MINISTERIO DE AGRICULTURA
•  MINISTERIO DE ASUNTOS EXTERIORES Y DE COOPPERACIÓN DE ESPAÑA
• MINISTERIO DE CULTURA 
• MINISTERIO DE ECONOMÍA Y HACIENDA
•  MINISTERIO DE EDUCACIÓN Y CIENCIA 
• MINISTERIO DE FOMENTO
•  MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO
•  MINISTERIO DE JUSTICIA
•  MINISTERIO DE MEDIO AMBIENTE MINISTERIO DE SANIDAD Y CONSUMO
• MINISTERIO DE TRABAJO Y ASUNTOS SOCIALES
•  MINISTERIO DE VIVIENDA 
• OFICINA ESPAÑOLA DE PATENTES Y MARCAS
• PRESIDENCIA DEL GOBIERNO 
• RENFE
•  CONGRESO DE LOS DIPUTADOS 
• CORREOS Y TELÉGRAFOS 
• DEFENSOR DEL PUEBLO 
• ENDESA

Para la descarga e instalación  del software necesario para DNI-e hay que seguir los siguientes pasos: 

• En el servicio de actualización de Microsoft Windows Update se encontrarán disponibles las nuevas versiones del driver del DNIe. 
• Únicamente habrá que al introducir la tarjeta DNIe en el lector y el sistema operativo instalará el driver de forma rápida y automática. Este nuevo driver permite al DNIe trabajar como dispositivo plug&play, ya que se instala de forma automática una vez insertado el mismo en un lector compatible. Basado en la nueva arquitectura "Smart Card Mini-Driver" (conocida también como "Smart Card Module") de Microsoft, funciona en Internet Explorer y en Google Chrome.

•  IMPORTANTE: No será posible instalarlo de forma directa en aquellos equipos que ya cuenten con algún tipo de instalación manual de los drivers del DNIe, en estos casos en primer lugar habrá que desinstalar todo lo relativo al antiguo software y reiniciar el equipo. En el área de descargas encontrará un histórico de versiones que le puede ser de utilidad en el proceso de desinstalación si en su equipo tiene instalada una versión antigua del software del DNIe.

1. DESCARGA E INSTALACIÓN Introduzca el DNIe en el lector de tarjetas para que se inicie la descarga e instalación automática del controlador del DNIe a través de Windows Update: 

• No saque el Dnie del lector hasta la finalización de la instalación.
• Una ventana emergente le indicará que la instalación se ha realizado correctamente y por lo tanto tendrá acceso a sus certificados de Autenticación y Firma.
• El card module al detectar un DNIe por primera vez en un equipo solicitara el PIN para leer la parte pública de los certificados de ciudadano y mantener una cache cifrada en el perfil del usuario. Las siguientes veces que se inserta el DNIe se lee la parte pública de los certificados de dicho caché cifrado en lugar de la tarjeta para evitar la solicitud de PIN. Posteriormente solicitará el PIN únicamente cuando se realicen operaciones de firma.

• Puede acceder al administrador de dispositivos podrá comprobar la referencia a la instalación del mini driver.
• Si la instalación no se realizara automáticamente acceda a Windows Update y pinche sobre “Buscar actualizaciones”.

2. ACCESO A LOS CERTIFICADOS  Para acceder a los certificados de Autenticación y Firma abra el navegador y ejecute la siguiente secuencia: 

 Explorer: Herramientas – Opciones de Internet – Contenido – Certificados.

 Chrome:  Herramientas – Configuración –Mostrar opciones avanzadas- Administrar certificados

TEMA 5: CERTIFICADO DIGITAL

• EJERCICIO 6:
  EXPLICAR DONDE SE DESCARGA EL CERTIFICADO DIGITAL, DONDE SE RECOGE Y TIEMPO DE VALIDEZ

El certificado digital lo podemos descargar a traves de la FNMT en el siguiente enlace: 

https://www.sede.fnmt.gob.es/certificados/persona-fisica/obtener-certificado-software/solicitar-certificado

Es importante  disponer de:

• Un ordenador con acceso a Internet.
• Un navegador de los admitidos por la FNMT (Internet Explorer o Mozilla Firefox).
• Utilizar el MISMO ordenador y MISMO navegador para todo el proceso completo.         Además todo el trámite es gratuito.

La solicitud del certificado consiste en tres pasos que se realizan en este orden:

1.  Solicitar el certificado -> Por Internet
2. Acreditar la identidad en una Oficina de Registro -> Acudiendo en persona
3. Descargar el certificado -> Por Internet

IMPORTANTE: La configuración del navegador tiene que ser la adecuada. La FNMT nos facilita una utilidad para eso. en su página web  https://www.sede.fnmt.gob.es/

 Tendremos que ir en persona a una Oficina de Registro. Nadie puede ir en nuestro lugar. Allí, tras presentar el DNI y el código obtenido en el paso anterior, firmaremos un documento para garantizar que efectivamente somos quien decimos ser y que hicimos el paso 1 en el ordenador.  De este modo, queda constancia que el certificado que vamos a obtener está efectivamente bajo nuestro control.

Tal vez os llame la atención que para obtener una herramienta para usar la Administración Electrónica se obligue a que la persona se presente en una oficina. Pensad que si no se obligara a ir en persona, cualquiera que conociera vuestro DNI podría pedir un certificado en vuestro nombre.

La descarga finalmente la hacemos nostros mismos a través de Internet.

Un certificado tiene una vigencia definida, tras la cual dejará de tener validez. No obstante, antes de que esto ocurra podemos solicitar su renovación. El certificado de la FNMT tiene una vigencia de tres años, mientras que los certificados del DNI electrónico tienen una vigencia de dos años y medio.

TEMA 5: AUTORIDADES CERTIFICADORAS

EJERCICIO 5:  Busca autoridades certificadoras admitidas de Certificados digitales que existen en España. Describe el proceso de obtención del certificado digital. Comentar los navegadores para los que es válido y si puede emplearse para otro tipo de archivos. ¿Es posible exportarlo?  ¿Qué precacuciones debemos tener en cuanto a proteccion mediante  contraseñas en la exporatación? 

• AUTORIDADES CERTIFICADORAS EXISTENTES EN ESPAÑA

Una Autoridad de certificación es una entidad de confianza, responsable de emitir y revocar los certificados digitales o certificados, utilizados en la firma electrónica. Jurídicamente es un caso particular de Prestador de Servicios de Certificación.

Las principales Autoridades de Certificación españolas que emiten certificados electrónicos de empresa son: 

• Fábrica Nacional de Moneda y Timbre (FNMT)
• Agència Catalana de Certificació (CATCert)
• Agencia Notarial de Certificación (ANCERT).
• ANF Autoridad de Certificación (ANF AC)
• Autoridad de Certificación de la Abogacía (ACA)
• Autoridad de Certificación HealthSign
• Autoritat de Certificació de la Comunitat Valenciana (ACCV)
• Camerfirma
• EDICOM
• Firma Profesional
• IZENPE

• PROCESO PARA LA AUTORIZACIÓN DEL CERTIFICADO DIGITAL 

El proceso de obtención del Certificado software (como archivo descargable) de usuario, se divide en cuatro pasos que deben realizarse en el orden señalado:

1.Consideraciones previas y configuración del navegador.

No formatear el ordenador, entre el proceso de solicitud y el de descarga del certificado.Se debe realizar todo el proceso de obtención desde el mismo equipo, con el mismo usuario y el mismo navegador.No realizar actualizaciones en el equipo mientras dure el proceso.Navegadores soportados:

• Mozilla Firefox

• Google Chrome

• Microsoft Internet Explorer

• Sistemas MAC OS X:

• Mozilla Firefox

• Sistemas Linux:

• Mozilla  Firefox

• 
  
• 2. Solicitud vía internet de su Certificado.
•  Al finalizar el proceso de solicitud, usted recibirá en su cuenta de correo electrónico un Código de Solicitud que le será requerido en el momento de acreditar su identidad y posteriormente a la hora de descargar su certificado.
• 
  
• 3. Acreditación de la identidad en una Oficina de Registro. 
• Una vez completada la fase anterior y esté en posesión de su Código de Solicitud, para continuar con el proceso deberá Acreditar su Identidad en una de nuestras Oficinas de Registro.
• 
  

• 4.Descarga de su Certificado de Usuario.

Una vez haya acreditado su identidad en una Oficina de Registro y haciendo uso de su Código de Solicitud, desde aquí podrá descargar e instalar su certificado.

RECOMENDACIÓN: Tras descargar su certificado recomendamos a todos los usuarios que realicen una copia de seguridad del propio certificado en un dispositivo de almacenamiento externo.
• 
  
• 
  
• VALIDEZ DEL CERTIFICADO DIGITAL

El certificado digital garantiza que ese certificado pertenece a la persona que lo solicitó. Así, cada vez que presentemos nuestro certificado en una página web, ésta se comunicará con la Autoridad de Certificación que emitió ese certificado para comprobar que sigue siendo válido.

Un certificado deja de ser válido si ha caducado o ha sido revocado.
Un certificado tiene una vigencia definida, tras la cual dejará de tener validez. No obstante, antes de que esto ocurra podemos solicitar su renovación. El certificado de la FNMT tiene una vigencia de tres años, mientras que los certificados del DNI electrónico tienen una vigencia de dos años y medio.

Por otro lado, siempre es posible que perdamos nuestro certificado, o lo olvidemos en un ordenador público. Si eso ocurre, dado que con él se puede suplantar a su titular, es imprescindible comunicarlo a la Autoridad de Certificación que lo emitió para que lorevoque, es decir, para que a partir de ese momento ya no tenga validez.

¿Es posible exportarlo?

Sí, si setrata del certificado del DNI, usando el lector.

¿Qué precauciones podemos tener con el certificado digital en cuanto a protección mediante contraseñas?

Tener una contraseña que solo la sepa el usuario del certificado

Una persona que acceda a nuestro equipo con certificado digital, ¿puede acceder a distintos sitios web de información personal de tipo legal?

Sí.

• 
  

TEMA 5 : CRIPTOGRAFÍA CAMMERFIRMA

(ejercicio 4)

• Uso del certificado digital para la firma y el envio de documentos electrónicos.

AC Camerfirma se establece como prestador de servicios de certificación al amparo de la LEY 59/2003, de 19 de diciembre, de firma electrónica, es decir como tercero de confianza en las transacciones electrónicas, distribuyendo certificados de identidad que permiten a las empresas identificarse en la red y firmar electrónicamente documentos con total seguridad técnica y jurídica.

Una de las tareas más importantes que lleva a cabo AC Camerfirma es el reconocimiento de sus claves por parte de los grandes desarrolladores de aplicaciones comerciales, de esta forma los usuarios de nuestros certificados, bien sean de firma, autenticación SSL, código..etc pueden utilizarlos sin trabas y con la confianza de estar en posesion de una acreditacion electónica de amplia aceptación.

AC Camerfirma SA desde su fundación ha obtenido el reconocimiento de las principales marcas : Microsoft, en todos sus sistemas operativos, Mozilla en toda la suite de productos, Adobe, Apple, Google, Oracle Sun para la firma de código java..etc

Para obtener estos reconocimientos AC Camerfirma esta sujeta a auditorias anuales sobre la seguridad y calidad de sus procedimientos, esto nos ayuda a mejorar y conseguir un mejor producto y por tanto una mejor posición de marca en el mercado nacional e internacional.

En la página se nos explica como hacer la instalación del certificado digital paso a paso, e incluso una página de prueba para ver los datos de nuestro Certificado.

Información extraída de http://www.camerfirma.com

• S-MIME

S/MIME es un estándar paracriptografía de clave pública y firmado de correo electrónico encapsulado en MIME.

S/MIME provee los siguientes servicios de seguridad criptográfica para aplicaciones de mensajería electrónica:

• autenticación, integridad y no repudio (mediante el uso de firma digital) y
• privacidad y seguridad de los datos (mediante el uso de cifrado)

• Uso del certificado digital para minimizar el spam

Una opción puede ser habilitar en la configuración del correo electrónico la opción para poder recibir correos electrónico solo de aquellos remitentes que posean certificado digital.

TEMA 5: CRIPTOGRAFÍA. ESTEGANOGRAFÍA

(ejercicio 3)

La esteganografía, trata el estudio y aplicación de técnicas que permiten ocultar mensajes u objetos, dentro de otros, llamados portadores, de modo que no se perciba su existencia. Es decir, procura ocultar mensajes dentro de otros objetos y de esta forma establecer un canal encubierto de comunicación, de modo que el propio acto de la comunicación pase inadvertido para observadores que tienen acceso a ese canal.

Esta ciencia ha suscitado mucho interés en los últimos años, especialmente en el área de seguridad informática, debido a que ha sido utilizada por organizaciones criminales y terroristas. No obstante, no se trata de nada nuevo, pues se lleva empleando desde la antigüedad, y ha sido tradicionalmente utilizada por las instituciones policiales, militares y de inteligencia; así como por criminales o civiles que desean eludir el control gubernamental, especialmente en regímenestiránicos.

Si bien la esteganografía puede confundirse con la criptografía, por ser ambas parte de los procesos de protección de la información, son disciplinas distintas, tanto en su forma de implementar como en su objetivo mismo.

Mientras que la criptografía se utiliza para cifrar o codificar información de manera que sea ininteligible para un probable intruso, a pesar que conozca su existencia, la esteganografía oculta la información en un portador de modo que no sea advertido el hecho mismo de su existencia y envío. De esta última forma, un probable intruso ni siquiera sabrá que se está transmitiendo información sensible.

Sin embargo, la criptografía y la esteganografía pueden complementarse, dando un nivel de seguridad extra a la información, es decir, es muy común (aunque no imprescindible) que el mensaje a esteganografiar sea previamente cifrado, de tal modo que a un eventual intruso no sólo le costará advertir la presencia de la mensajería oculta; sino que si la llegara a descubrir, la encontraría cifrada.

TEMA 5: CRIPTOGRAFÍA. MÁQUINA ENIGMA

(ejercicio 1)

Funcionamiento de la Máquina Enigma. Cómo se crea la palabra clave?

La palabra clave depende de la posición inicial de tres rotores configurables en 26 posiciones posibles. La persona que desee descifrar el mensaje debe conocer la posición inicial de esos tres rotores o modificadores de algoritmo.

Podemos encontrar un simulador de la máuina Enigma en http://enigmaco.de/enigma/enigma.swf