Seguridad en Las Transacciones on Line de Comercio Electrónico

5/24/2018 Seguridad en Las Transacciones on Line de Comercio Electr nico

http:///reader/full/seguridad-en-las-transacciones-on-line-de-comercio-electr

Tesis de Grado Seguridad en las transacciones On Line de comercio electrnico

2

Todos los imperios del futuro van a ser imperios del conocimiento, y so-lamente sern exitosos los pueblos que entiendan cmo generar conocimientosy cmo protegerlos; cmo buscar a los jvenes que tengan la capacidad para

hacerlo y asegurarse que se queden en el pas.

Albert Einstein




3

ndiceSeguridad en las transacciones on line de comercio electrnico........................1ndice................................................................................................................................3Introduccin.....................................................................................................................5

Problemticas de las transacciones de comercio electrnico .........................6La estructura de la presente tesis es la siguiente ............................................11

Parte 1 ...........................................................................................................................13Introduccin al Comercio en la Web .........................................................................13Comercio en la Web ....................................................................................................14

La informacin en la Web........................................................................................15Tratamiento de los datos ......................................................................................16

Servidor Web Seguro ...............................................................................................20Por qu atacar un servidor Web? ....................................................................20Componentes de la seguridad en la Web .........................................................22

Tarjetas de crdito viajando por la Web ...............................................................23Transacciones de pagos interbancarios de tarjetas ........................................26Uso de las tarjetas de crdito en Internet..........................................................28Mtodos alternativos a la tarjeta de crdito para compras en Internet ........29Cmo evaluar un sistema de pago mediante tarjetas de crdito ..................30Consideraciones legales ......................................................................................30

Administracin de riesgos....................................................................................32Parte 2 ...........................................................................................................................33

Tecnologas de proteccin .........................................................................................33Proteccin de la privaca .............................................................................................34Tcnicas de identificacin digital...............................................................................38

Identificacin computarizada ..................................................................................38Firmas digitales......................................................................................................40

Certificados digitales ................................................................................................42Robo y falsificacin de certificados digitales ....................................................46Documento de prctica de certificacin.............................................................46Ventajas de los certificados.................................................................................48Tipos de certificados.............................................................................................48

Criptografa, la piedra fundamental de la seguridad ..............................................51La criptografa ............................................................................................................51

Algoritmos y funciones criptogrficas ................................................................52La criptografa en la Web ........................................................................................58

Limitaciones de la criptografa ............................................................................58La criptografa en el comercio electrnico............................................................60

Protocolo de Nivel de conexiones seguro (SSL, Secure Sockets Layer) ....60Protocolo de Transacciones Electrnicas Seguras (SET, Secure ElectronicTransactions) .........................................................................................................67Otros protocolos para asegurar la informacin en trnsito ............................71

Como proteger un sitio Web.......................................................................................74Principales problemas de seguridad de las mquinas en la actualidad..........74Prcticas que permiten aumentar la seguridad ...................................................75




4

Definir polticas en tiempo de diseo .................................................................76Prevenir la intercepcin de claves de acceso ..................................................77Utilizar herramientas de seguridad.....................................................................77

Evitar fallas y errores de programacin.............................................................78Utilizar Firewalls ....................................................................................................83Utilizar bitcoras ....................................................................................................85Utilizar respaldos ...................................................................................................85Minimizar servicios ................................................................................................86Restringir el acceso a servidores Web ..............................................................87Utilizar seguridad fsica ........................................................................................88

Auditar la seguridad..............................................................................................89Mantener la relacin Costo Beneficio.............................................................91

Arquitecturas de e-commerce.................................................................................92Arquitectura 1: Servidor de Web con forma de pedido...................................93

Arquitectura 2: Transacciones Electrnicas Seguras (SET)..........................94Arquitectura 3: Comercio de mercado abierto..................................................96Arquitectura 4: Compra abierta en Internet.......................................................98Arquitectura 5: Ecash .........................................................................................100

Parte 3 .........................................................................................................................101Poniendo en prctica lo que est en palabras ......................................................101Encuesta transacciones online de comercio electrnico.....................................102

Resultados de la encuesta ....................................................................................103Hoja de ruta .................................................................................................................106

Pequeos comercios electrnicos .......................................................................107Comercios electrnicos medianos .......................................................................109Comercios electrnicos grandes ..........................................................................111

Conclusiones ..............................................................................................................114Bibliografa ..................................................................................................................118

Libros: .......................................................................................................................118Sitios Web:...............................................................................................................120Entrevistas y observaciones del campo:.............................................................122

Anexo A. Formulario de encuesta realizada..........................................................123Datos generales ......................................................................................................123Punto de vista de usuario ......................................................................................123Punto de vista de profesional de TI.....................................................................126




5

Introduccin

Al iniciar este trabajo de tesis, me preguntaba: cun seguro era intro-ducir el nmero de mi tarjeta de crdito en una pgina Web y qu probabilida-

des habra de ser estafado si lo haca?

Era un usuario ms, con algunos conocimientos ms que algunos pocos,sobre el tema. Las siguientes eran algunas de las preguntas que me planteaba:

?? Qu conceptos involucra la seguridad en las transacciones on-line del comercio electrnico?

?? Por qu es necesario garantizar la seguridad de las transaccio-nes de datos y su inviolabilidad?

?? Cules son las arquitecturas disponibles para garantizar la segu-ridad?

?? Cmo se puede reconocer un sitio seguro?

?? Cules son las diferencias entre los distintos medios de transac-ciones y cules son sus implicaciones de seguridad?

?? Cmo un sitio de comercio electrnico le transmite seguridad alcliente?

?? Qu relacin hay entre la seguridad y el xito comercial de latransaccin?

?? Qu posibilidades tiene el usuario para determinar la seguridad

de un sitio Web antes de relacionarse comercialmente con l?

Todas fueron disparadores del trabajo presente y motivaron a la investi-gacin y estudio de los conceptos tericos relacionados con el comercio elec-trnico y la seguridad. La idea fue establecer un punto de partida para posiblessoluciones, luego se observaron en empresas del medio la aplicacin de losconceptos desarrollados. Con esto se arrib a algunos descubrimientos y nue-

vos interrogantes. Las visin del trabajo surge de un mundo en recesin con elcapitalismo atravesando su mayor crisis. Es necesario generar formas de co-mercio y expansin de mercados. En Internet transitan da a da millones de

posibles clientes. Es un deber proveer soluciones tcnicas al esfuerzo que elpersonal de marketing y diseo realiza para atraer la atencin de los clientes.No podemos permitir que una vez captada la atencin de los mismos, en unartculo determinado, la compra no se realice por falta de confianza en la segu-ridad del vendedor. En marketing existe un precepto que reza: La venta siem-




6

siempre se cierra; si no la cierra el vendedor (con la concrecin), la cierrael cliente (con el rechazo)

Problemticas de las transacciones de comercio electrnico

En 1969 el departamento de defensa de los Estados Unidos cre la

Agencia para Proyectos Avanzados de Investigacin (ARPA, Advanced Re-search Project Agency). El departamento de defensa aspiraba crear una red decomunicacin de tal manera que si una parte de la misma sufra un colapsototal, los mensajes pudieran encontrar el camino hasta su destino de cualquiermanera, motivados por la sensacin de un inminente conflicto mundial nuclear.Es quiz paradjico pero muchos de los avances de la humanidad se han lo-

grado teniendo la idea de sacar ventajas en conflictos armados. El resultado

fue ARPAnet.

En 1983, mas que nada debido a razones pragmticas, ARPAnet se di-

vidi en dos sistemas diferentes llamados ARPAnet y MILENET. La primera fuepuesta a disposicin de los ciudadanos para usos civiles, y MILENET fue re-servada para uso militar. Las redes se conectaron de tal manera que los usua-rios pudieran intercambiar informacin; esto acab por conocerse como Inter-net.

Uno de los avances ms importantes de Internet tuvo lugar en 1986,cuando la Fundacin Nacional de la Ciencia (NFS, National Foundation of

Science) de los Estados Unidos cre NSFNET con el propsito de conectarvarias supercomputadoras de gran velocidad a lo largo del pas, principalmente

con fines de investigacin. ARPAnet fue desmantelada y NSFNET se convirtien el principal conducto de Internet.

En sus primeros das, Internet era un lugar tranquilo donde no se haciamucho ms que mandar mails o intercambiar archivos. Era utilizada para dise-minar informacin pblica de universidades y organizaciones. Los navegado-

res

1

y la Web

2

, como los conocemos hoy, no existan. El servicio WWW de In-ternet, el responsable de su gran expansin global y popularidad gracias a lasfacilidades multimediales, no hizo su aparicin hasta 1992. El world wide Webfue inventado por Tim Berners-Lee, el mismo fue concebido como un mediopara publicar documentos relacionados con la fsica sin tener que descargar losarchivos e imprimirlos. El www no alcanz gran popularidad hasta que en la

1En Ingls Browser. Es un software que sirve para visualizar pginas de Internet.2Forma abreviada de World Wide Web, servicio de Internet, tambin llamado www.




7

Universidad de Illinois se desarroll un navegador Mosaic, programa luego co-

nocido como Netscape Navigator. [L-1] [L-2] [L-9] [W-8]

La informacin en la Web se despliega como un conjunto de pginas es-critas en Lenguaje de Marcacin de Hiper Texto (HTML, Hyper Text Mark Up

Language), almacenadas en servidores Web, trmino utilizado tanto para des-cribir las computadoras que alojan las pginas Web como a los programas quereciben peticiones de la red y responden en forma de archivos HTML. Estaspginas se solicitan y reciben mediante mensajes definidos por el Protocolo deTransporte de Hiper Texto (HTTP, Hyper Text Transport Protocol). Adems detransmitir un archivo un servidor Web puede ejecutar un programa como res-puesta a una peticin esto se puede realizar a travs del lenguaje Interfaz de

Compuerta Comn (CGI, Common Gateway Interface). Esta interfaz simplificaal servidor algunas operaciones complejas pero no es eficiente, ya que requiere

la ejecucin de programas independientes por cada llamada; una tcnica mejoren la que el mismo servidor realiza la operacin externa es la de Interfaz de

Programacin de Aplicaciones (API, Application Programming Interfaces). [L-1]

La Web agrup todos los servicios de Internet que antes estaban sepa-rados y les da un entorno capaz de combinar imgenes, texto y sonido.

Una de las leyes fundamentales de la seguridad informtica dice

que el grado de seguridad de un sistema es inversamente proporcional ala operatividad del mismo. [W-21]

Internet es una red de grandes servidores en configuracin de cliente -servidor3 conceptualmente insegura, ya que fue diseada con un alto nivel deoperatividad. No est mal que sea insegura, ni se trata de un error de diseo,sino que para cumplir con la funcin para la cual se la cre deba tener el msalto grado de operatividad, lo que trae como consecuencia un alto nivel de in-seguridad.

Podemos decir que la seguridad e Internet son conceptualmente opues-tas. A lo que se le puede dar un grado de seguridad mediante un determinadomecanismo, es a una transaccin especfica, y este mecanismo se debe repetir

cada vez que se lleve a cabo una operacin similar.

No ha de creerse que por implantar determinados mecanismos de segu-ridad automticos, Internet se vuelve segura. Esto se afirma en




8

Una cadena es tan fuerte como su eslabn ms dbil

Por lo que cuando se conectan dos sistemas, uno seguro y otro insegu-

ro, el grado de seguridad no se promedia, sino que pasa a ser el del ms inse-guro para todo el sistema.

Definicin del prob lema

Mientras Internet, crece rpidamente, aumenta el intercambio de datos.Muchas empresas realizan transacciones financieras con sus clientes en Inter-net y necesitan asegurarse que sus transacciones sean privadas y de confian-za.

Hacia fines del 2002, asistimos al auge y cada de los negocios en Inter-net. La gran mayora de las empresas dedicadas al comercio electrnico fraca-saron y se vaticin la muerte de las punto com.

Slo los que hicieron un buen plan de negocios siguen en marcha y losque han fracasado fueron megaproyectos que apostaban a imponer sus mar-cas y rentabilizar su inversin mediante anuncios publicitarios.

Lo ms utilizado actualmente en el comercio electrnico es el e-mail,como herramienta para oferta segmentada a un costo bajsimo.

Segn la consultora Carrier y Asociados [W-20], en su publicacin Inter-net en Argentina: Cuantificacin y Perfil de usuario, el mercado argentino deusuarios de Internet mostr un crecimiento del 15%, con lo que, a diciembre de2002, lleg a alrededor de los 4 millones de usuarios. Lo que es equivalente a2 veces la audiencia de AM, 39 puntos de rating o 2 veces la cantidad de lecto-res de diarios. Por su parte la consultora DAlessio IROL [W-25] public en su

sitio web que contrariamente a lo que se piensa, Internet no es un mbito prin-cipalmente formado por adolescentes, ya que el 82% tiene ms de 24 aos ylos segmentos de mayor nivel socioeconmico son los que ocupan el lugar

ms importante dentro del perfil de usuarios, aunque los niveles medios estnequiparndolos en su peso numrico del total de usuarios de Internet, el 46%ocupa cargos de jefaturas, gerencias o direccin. Esto abre ms que nuncauna oportunidad de negocios on line. El mercado potencial es enorme y siguecreciendo. Aunque es imposible precisar la cantidad, la Asociacin para la In-vestigacin de Medios de Comunicacin de Espaa (AIMC) aventura que en

3Arquitectura en la que cada equipo de computo que participa, sirve recursos o los aprovecha.A las primeras se les denomina servidores. A las otras computadoras se las llama clientes yson quienes consumen el contenido o la informacin ofrecida por los servidores.




9

todo el mundo somos unos 160 millones de usuarios. Todos los das se incor-

poran miles de nuevos navegantes que no quieren saber nada de cadas de

Nasdaq, ellos desean una Internet que cubra todas sus expectativas y la pro-blemtica es que queden satisfechos y que consuman. Pero esto no se produ-ce. La consultora DAlessio IROL [W-25] asegura que del total de usuarios deInternet que NOcompran online, el 52% prefiere no hacerlo por desconfianza a

los medios electrnicos de pago. Pese a que a la hora de buscar informacinsobre un producto, el 82% de los usuarios considera a Internet el medio msconfiable; de forma que el 75% de los usuarios de Internet han efectuado con-sultas a servicios y/o productos online pero solo el 15% efectu alguna tran-saccin. El cliente, frente al comercio electrnico, se siente solo, sin ayuda a lahora de hacer consultas, con una gran desconfianza hacia la tecnologa y pen-

sando que toda la poblacin de maliciosos hackers est esperando que l in-grese sus datos para hacer todo tipo de estragos. Temeroso, apaga su PC,hace una lista de compras manual y sale hacia la tienda a hacer las compras

personalmente.

Definiciones de Comercio Electrnico

?? "Es la aplicacin de la tecnologa de informacin avanzada para in-crementar la eficacia de las relaciones empresariales entre socioscomerciales"[W-23]

?? "La disponibilidad de una visin empresarial apoyada por la tecno-loga de informacin avanzada para mejorar la eficiencia y la efica-cia dentro del proceso comercial."[W-24]

Combinando estas definiciones podemos decir que el comercio electr-nico es una metodologa moderna para hacer negocios que se apoya en la tec-nologa informtica.

Su xito radica en que est en sintona con la necesidad de las empre-sas, comerciantes y consumidores de reducir costos, as como mejorar la cali-dad de los bienes y servicios, adems de mejorar el tiempo de entrega de losmismos.

Es seg u ro el comer c io el ec t rn ico?

Pregunta que muchos usuarios se hacen antes de ingresar en un medioque les parece al menos impersonal, y al que deben entregar datos tan priva-dos como los de su tarjeta de crdito.

Es importante tener en cuenta que no existe slo una forma de comercioen la Red. Hay miles y miles de pginas Web que ofrecen artculos o serviciosa travs de Internet y tambin son cientos de miles las transacciones de datos




10

que se realizan, pero se ha difundido un gran miedo sobre la inseguridad que

ofrecen las transacciones por Internet y en particular las que se llevan a cabo

mediante tarjetas de crdito. Es apreciable que se corre tanto riesgo en elmundo "real", como en Internet. Por ejemplo en un restaurante: cuando el mozose lleva nuestra tarjeta, l mismo puede copiar sus datos y luego utilizarla enInternet o en otro comercio. Otro ejemplo es en las compras telefnicas dondetransmitimos va oral los datos de la tarjeta que pueden ser fcilmente intercep-tados o incluso malversados por la empresa en que confiamos, aunque indiscu-tiblemente la interaccin con una voz humana nos da una tranquilidad que serdifcil reemplazar.

En Internet hay sitios de transaccin con facilidades criptogrficas en los

cuales la informacin que enviamos se transmite de tal manera que si alguienla intercepta solo ver ceros y unos entreverados porque la informacin ha sido

cifrada para que resulte ilegible a un interceptor (a este proceso se le llama en-criptacin). Esta condicin es indicada en los navegadores por un smbolo gr-

fico para poder detectar si un sitio ofrece estas facilidades. Otra forma de haceruna transaccin con tarjeta de crdito es enviar los datos de la misma por fax,

este mtodo se usa generalmente para evitar que la informacin viaje por In-ternet y tiene la ventaja que la persona que enva los datos se queda con unacopia firmada de la transaccin. Esta ltima es de uso difundido en pases don-

de no puede haber una transaccin comercial sin una firma de la persona que

adquiere el bien o servicio.

Existen, por supuesto, otras formas de pago ya que la idea de hacertransacciones slo a travs de tarjetas de crdito est ampliamente difundidaen los Estados Unidos (all este medio es casi tan comn como el documentode identificacin) pero excluye a muchos potenciales clientes del resto delmundo; estos son los giros postales o bancarios que ofrecen total seguridad en

cuanto al envo y recepcin de dinero.

Empresas como Western Union y DHL con sucursales en ms de 100

pases son una solucin prctica y cercana (hay sucursales hasta en farma-cias) a la hora de realizar transferencias de montos pequeos.

Para transacciones de montos mayores se justifica el ya legendario yengorroso giro bancario.

Otro punto importante a la hora de realizar una transaccin, sea del tipoque sea, es verificar la seriedad de la empresa, ya sea solicitando referenciasde sus clientes u observando su evolucin y presencia en Internet.




11

Por lo antes expresado, vemos al comercio electrnico como una reali-

dad que puede tener distintas formas y que seguramente tendr un crecimiento

enorme en el futuro de la Informtica.

Las inquietudes a develar con el trabajo de tesis son numerosas y sern

tomadas como puntos de partida de la investigacin.

Hoy, el gran tema en la informtica, pasa por la seguridad ya que con elcrecimiento desmesurado que ha tenido, tambin se expandieron los agujerosde seguridad y la tendencia al caos. Intentamos brindar un humilde aporte altema y lograr una referencia a la hora de solucionar un problema concreto queexiste en el mundo de la Informtica.

Una de las principales dificultades al escribir sobre la seguridad en laWeb es que esta rea es increblemente dinmica. Por esta razn en lugar deproporcionar informacin tcnica detallada acerca de la instalacin y configura-

cin de programas especficos, los cuales sern obsoletos terminada la lecturade este trabajo de tesis, se ha incluido informacin sobre los conceptos y tcni-

cas que son y sern aplicables en los aos venideros.

La estructura de la presente tesis es la siguiente

La parte 1, a continuacin, est dedicada a introducir los conceptos del

comercio en la Web.

Se abordan los temas relacionados con la privaca de los datos en la eratecnolgica actual, su tratamiento, legislacin vigente y particularmente el delitoinformtico. Se realiza un acercamiento a los conceptos de seguridad Web. Se

presentan los motivos que llevan a atender esta problemtica y qu tecnologasse utilizan en defensa de los servidores Web. Adicionalmente se tratan los me-dios de pago que soportan al comercio electrnico.

En la parte 2 se describen las tecnologas de proteccin de datos y la

privacidad del cliente.

Se detallan las polticas de seguridad que debieran ser parte de la ticaque un sitio Web de comercio electrnico mantiene hacia sus clientes. Se reali-za un acercamiento a los conceptos involucrados en las tcnicas de identifica-cin digital y firma electrnica. Tambin se muestra el uso de los certificadosdigitales, cmo medio de lograr que los clientes sientan la confianza necesariapara realizar transacciones que impliquen el intercambio de datos sensibles.




12

Se explican los conceptos involucrados en la criptografa, cmo pieza

importante de la seguridad en la Web.

Trataremos la problemtica de proteger un sitio Web, qu soluciones ar-quitectnicas se pueden implementar y cuales son sus diferentes implicancias.

Por ltimo, en la parte 3, abordamos la problemtica de llevar a la prcti-ca los conceptos vistos y cmo trazar una hoja de ruta para recorrer en la cons-truccin de un sitio Web de comercio electrnico. Tambin realizamos una en-cuesta entre un grupo de profesionales de la informtica y analizamos sus re-sultados, comparando los mismos con algunos trabajos sobre el mercado in-formtico y el comercio electrnico.

Finalmente se exponen las conclusiones del presente trabajo.




13

Parte 1 Introduccin al Comercio en la Web

En el presente captulo se introducen los temas relacionados con el co-mercio en la Web. La privaca de los datos, su tratamiento y legislacin vigente;y particularmente el delito informtico. Se realiza un acercamiento a losconceptos de seguridad Web. Se analizan los motivos que llevan a atender es-ta problemtica y qu tecnologas se utilizan en defensa de los servidores Web.

Adicionalmente se tratan los medios de pago que soportan al comercio electr-

nico.




14

Comercio en la WebEn marzo de 1997 surgi una nueva clase de amenaza en la Web, PaulGreene [L-9] descubre que una pgina Web con ciertas instrucciones especia-les poda engaar al navegador Internet Explorer4, de Microsoft, y hacer queejecutara cualquier programa con cualquier entrada en la computadora delusuario. Este error podra ser utilizado para destruir la computadora de la vcti-ma, infectarla con un virus o capturar informacin confidencial del disco duro. El

error le otorgaba al Webmaster5 el control total sobre cualquier computadoraque visitara un sitio con Internet Explorer. A las 48 horas de haber sido detec-tado este error, Microsoft public una correccin al mismo, demostrando tanto

la habilidad de la compaa para responder y la efectividad de la Web para dis-tribuir correcciones de errores. A pesar de esto, a los pocos das se descubreotro error en Internet Explorer con el mismo efecto destructivo. Estos errores noson solamente de Microsoft, paralelamente se descubran errores en elambiente de Java, de Sun Microsystems, incluido en Na vigator de Netscape.

Por otro lado, el gobierno de Massachusetts haba anunciado que losconductores podan pagar sus infracciones mediante la Web. Deban dirigirse

al sitio Web del Registro de Vehculos Automotores, hacer clic en un botn de-terminado y pagar la infraccin con el nmero de su tarjeta de crdito. Evitando

de esta forma tener que perder tiempo haciendo cola para el pago.

Para que el trmite con tarjetas de crdito sea seguro en Internet, el go-bierno aseguraba utilizar un servidor Web seguro. Pero con seguro se refe-ra a la conexin entre el servidor Web y el navegador, es decir, que el primeroutiliza protocolos criptogrficos de manera tal que al enviar un nmero de tarje-ta de crdito por Internet, se codifica de modo que no pueda ser interceptado

en su recorrido. Pero solo por utilizar criptografa para enviar nmeros de tarje-tas de crdito por Internet no significa que sea inviolable. En el caso de quealguien logre acceder a la computadora con fines delictivos, podra instalar pro-gramas en el servidor y as obtener los nmeros de tarjeta de crdito una vezdecodificados. Obteniendo estos nmeros, podra utilizados para cometer frau-des. Esto podra llevar meses para que las compaas emisoras de las tarjetas

4 Aunque existe una gran diversidad de navegadores de Internet, en este trabajo citaremossiempre al Internet Explorer ya que es el ms usado. El mismo viene con el sistema operativoWindows a partir de su versin 95 IE. Aunque en ocasiones se harn comparaciones con elNavigator de Netscape que tiene similares caractersticas y similares falencias de seguridad.5Forma en que se suele llamar al lder de proyecto de un sitio Web.




15

localicen la fuente del robo de los nmeros, al tiempo que los maleantes habr-

an cambiando de vctima. [L-9]

La seguridad en la Web es un conjunto de procedimientos, prcti-cas y tecnologas para proteger a los servidores y usuarios de la Web co-ntra el comportamiento inesperado.

Las empresas y los gobiernos utilizan cada vez mas el World Wide Webpara distribuir informacin importante y hacer transacciones comerciales. Alviolar servidores Web se pueden daar reputaciones y perder dinero. A pesarque la Web es fcil de utilizar, los servidores y navegadores Web son piezas desoftware extremadamente complicadas y tienen diversas fallas de seguridadpotenciales. Muchas veces se han incorporado funciones sin prestar mucha

atencin a su impacto en la seguridad. Aunque el software est bien instaladopuede ser una amenaza de seguridad. Al violar los navegadores y servidoresWeb, los atacantes pueden utilizarlos como base para otros ataques. Tambinexisten muchos usuarios principiantes de los servicios basados en el WWW. La

generacin actual de software les exige tomar decisiones de seguridad relevan-tes a diario, sin proporcionarles informacin suficiente.

Por lo expresado es que atendemos el tema de seguridad en la Web,con la seguridad de que es ms costosa la recuperacin de un incidente de

seguridad que tomar medidas preventivas. [E-1]

La informacin en la Web

La vida privada6y las nuevas tecnologas nunca se han llevado bien, yaque siempre se han ideado formas de espiar a nuestros semejantes. Las auto-pistas de la comunicacin han supuesto una revolucin en nuestro concepto deintimidad, debido a que a lo largo de nuestra vida dejamos cientos de datos,registros y firmas que se van acumulando. Si alguien pudiera tener acceso a

ellos, podra reconstruir fielmente nuestro perfil vital.

En cada etapa de nuestra historia, vamos dejando huellas en nuestrosactos cotidianos. Por ejemplo, la toma de huellas y datos en el Registro Civil,datos sobre sucesivas vacunaciones y enfermedades, inscripcin en el colegio,datos de participacin en concursos y en ofertas comerciales, ingreso a la uni-

versidad, ingreso en el padrn electoral, conexin a Internet, registro de casa-

6 Se incluye en el concepto privacidad dos supuestos: el derecho de cada persona a no serperturbado en su soledad y el derecho a que no se divulguen datos que puedan perjudicarla.




16

miento y divorcio, carnet de conducir, crditos hipotecarios, datos bancarios,

compras con tarjetas de crdito, registros judiciales y policiales, etctera.

El vivir rodeados de rastros, nos genera algunos deberes como el queobliga, segn la Ley 17.671 en la Repblica Argentina, a comunicar el cambiode domicilio dentro de los treinta das de haberse producido. Entre los dere-chos, aquel que establece la propia Constitucin Nacional, denominadoHabeas Data, que declara que todos los habitantes de la Nacin Argentinatienen derecho a conocer los datos que las autoridades poseen respecto de supersona.

En el artculo 43 de dicha constitucin [W-22], se establece la accin deamparo, siempre que no exista otro medio judicial ms idneo, para ser inter-

puesta por cualquier persona para tomar conocimiento de los datos referidos aella y su finalidad, sea que stos consten en registros pblicos o privados. Laaccin es igualmente vlida para exigir la supresin, rectificacin, confidenciali-dad o actualizacin de los datos, cuando stos sean falsos o discriminatorios.

Cuando la revelacin incompleta de datos es engaosa y no coincidentecon la realidad, el interesado tiene el derecho constitucional de exigir la rectifi-cacin o actualizacin de los antecedentes que sobre su persona se brindan a

terceros.

El derecho de poder controlar a quienes difunden informacin personal,

es un derecho fundamental porque de no existir la posibilidad de lograr judi-cialmente la rectificacin de los datos falaces acerca de una persona, se afec-tan directamente derechos constitucionales, tales como el derecho a la privaci-dad, al honor, a la identidad personal y a la propiedad, con todos los perjuicios

econmicos y morales que ello puede acarrear para la persona involucrada.

La ley 25.326 de hbeas data reglamenta el derecho de todo ciudadanoargentino a exigir se le haga saber que tipo de informacin se tienen sobre len cualquier base de datos pblica o privada.

Tratamiento de los datos

Si bien no existen disposiciones especficas sobre el resguardo de datosen la Web, esto no significa que quede excluida su proteccin.

Es importante tener en cuenta que la informacin acerca de un individuo

se compone de diferentes tipos de datos que se muestran en la figura A y sedetallan a continuacin. [W-24]




17

a) Datos sensibles: Son los que pueden afectar la intimidad del individuo

como son el de raza, ideologa, estado de salud, creencias, religin.

b) Datos secretos: como son el secreto profesional, secreto comercial, se-creto bancario, secreto de confesin, etc.c) Datos reservados: siendo aquellos que el titular no est obligado a pro-

porcionar para que sean conocidos por terceros, como son : filiacin (hijo ma-trimonial, extramatrimonial, adoptado), delitos contra el honor (difamacin, ca-lumnia, injuria), libertad sexual (violacin), adulterio, aborto, etc.

d) Datos privados: los que el titular debe proporcionar peridicamente a la

autoridad para fines especficamente sealados, como por ejemplo los datoscontenidos en una declaracin jurada del impuesto a las ganancias, slo debenser utilizados para los fines que especficamente fueron dados, no para fines

distintos.e) Datos pblicos: Son aquellos cuya publicacin no afecta al individuo,

como el sexo, nmero de documento, nombre y apellido. Los datos que figuran

en los padrones electorales o en la gua telefnica.

DatosSensibles

DatosPblicos

ReliginRaza

SexoN de documentoNombre y Apellido

Secreto profesionalSecreto comercialSecreto bancarioSecreto de confesin

DatosSecretos

FiliacinLibertad sexual

DatosReservados

DatosPrivados

Figura A.: Tipos de datos.




18

Estos tipos de datos determinan que la informacin pueda o no ser tra-

tada como confidencial, tambin debe tenerse en cuenta los lmites territoriales

de aplicacin de la ley argentina, que puede no emplearse si el usuario localbrinda informacin sensible a sitios extranjeros que la divulgan. No hay unapauta nica para determinar cundo una informacin debe considerarse confi-dencial; depende de las circunstancias. Datos como nombre, domicilio, direc-cin de e-mail o nmero de telfono no necesariamente constituyen informa-cin sensible ya que su divulgacin no vulnera el derecho a la intimidad. Pero siesos mismos datos son tomados en conjunto o procesados para inferir caracte-rsticas, tendencias o perfiles de sus titulares, bien podran constituir informa-cin confidencial y sensible. Adems, pocos dudaran que los nmeros de tarje-ta de crdito, ingreso patrimonial, antecedentes penales y de evaluacin credi-

ticia, tendencias sexuales y creencias polticas y religiosas, no sean datos cuyouso pueda afectar al individuo en su intimidad.

Las empresas que operan en Internet estn en una situacin privilegiada

para obtener informacin personal de los usuarios, y ninguna ley les impiderecopilar sus datos y utilizarlos para fines propios de marketing u otros. Este

uso sera contrario a la lealtad contractual y, aunque no es sancionado por laley, habilita a los afectados a reclamar la indemnizacin de los daos ocasio-nados. Es recomendable, entonces, que el usuario se interese por la poltica de

confidencialidad de los sitios y, a su vez, que stos soliciten el consentimiento

del usuario antes de divulgar sus datos personales.

En los ltimos aos un creciente trfico de archivos, con datos sensiblessobre los usuarios, se ha hecho moneda corriente en Argentina. Pero no habaningn instrumento legal creado para castigar este tipo de delitos.

Entre las principales caractersticas de la ley, se cuenta la creacin deun organismo estatal que controlar este tipo de delitos en empresas y orga-

nismos pblicos. Tendr a su cargo un censo, que habilitar a las empresasinscriptas con un permiso habilitante para guardar datos sobre sus clientes,

siempre y cuando no violen su privacidad. Si alguien hace una denuncia porqueconsidera que se han utilizado datos sensibles sobre su persona sin su consen-timiento, la oficina investigara y podra multar a la compaa. Adems, se pre-v penas de prisin por 3 aos como mximo para aquellos que introduzcaninformacin falsa a propsito en una base de datos.

Uno de los puntos conflictivos en estos aos han sido la gran cantidadde personas que han denunciado errores en los bancos de datos comerciales.Este problema las inhabilitaba para recibir crditos, an cuando no tenan nin-




19

guna morosidad. Por ello, la ley establece que las entidades financieras debe-

rn blanquear todos esos errores.

Los archivos de los medios de comunicacin quedaron explcitamentefuera del alcance de la ley, para proteger el derecho de los periodistas a reser-

var sus fuentes de informacin.

En la iniciativa legal se explicita que los datos sensibles no pueden seralmacenados de ninguna forma y que toda persona debe ser notificada cuandosea incluida en una base de datos.

La proteccin de datos personales no es un problema nuevo, pero laRed potencia el riesgo implcito al facilitar la comunicacin y el almacenamien-

to.

El cdigo civil impone el deber de reparar el dao causado por intromi-sin en la intimidad ajena. En materia comercial, la ley de confidencialidad pro-hbe la divulgacin, adquisicin o utilizacin indebidas de informacin de valor

comercial, en atencin a su carcter secreto. La ley de habeas data an espera

su reglamentacin. Toda persona, tiene el derecho de conocer cules de susdatos se incluyeron en registros y bancos de datos pblicos o en registros pri-vados y de pedir su supresin, rectificacin, confidencialidad o actualizacin.

Uno de los frenos ms grandes para el comercio electrnico es la des-confianza generalizada a la hora de dar los datos de la tarjeta de crdito, portemor a que se agreguen a la cuenta cosas que no se compraron o que el pro-ducto no llegue a destino final. Los consumidores estn desconfiando de latecnologa y del sistema de medios de pago. Y no nos referimos a la descon-

fianza comercial acerca de quin es el que vende y qu es lo que vende. Estose sostiene con los relevamientos y con las comprobaciones prcticas que sehacen en la Argentina. Es evidente la necesidad de una seguridad jurdica porparte de los inversores y de las empresas. Si el marco econmico no es segu-

ro, la gente no realiza emprendimientos.

Dejamos en claro que los registros que administran antecedentes perso-nales tienen obligaciones ineludibles como obtener los datos por vas legales,conservarlos en secreto, tener informacin cierta, completa, actualizada y pro-porcionarla slo cuando media la orden de una autoridad competente o cuandola persona involucrada ha autorizado su revelacin para el caso concreto.

El incumplimiento de las obligaciones referidas convierte a la administra-cin de datos en manipulacin, siendo esta ltima, ilegal. Se afirma que el esp-




20

ritu de las garantas constitucionales que involucran la cuestin analizada, es

que los actos privados de los hombres permanezcan preservados, que haya

una esfera de intimidad o privacidad y que la informacin que se difunde noperjudique injustamente el goce de derechos. Pero ms all de los problemaslegales, nos motiva la seguridad del negocio. An no se ha denunciado un casode estafa comercial importante, pero si llegara a pasar los daos en la credibili-dad del sistema de comercio electrnico podran ser irreversibles. Acabarancomercialmente, de hecho, con la empresa afectada y daaran a todo el mer-cado.

En algunas empresas es necesario que las cosas ocurran al me-nos una vez para que se planifiquen acciones a seguir. [E-1]

Servidor Web Seguro

La def in ic in de s ervidor Web seguro

depende de qu in sea el recep to r:

?? Para los proveedores de software es un programa que instrumen-ta protocolos criptogrficos, de forma que la informacin transferida entre unservidor y un navegador no pueda ser interceptada.

?? Para los usuarios es el que resguarda la informacin personal que

se reciba, asegurando la privaca sin instalar en su computadora programashostiles.

?? Para las compaas que lo administran es el que resiste ataquesinternos y externos.

Un servidor Web seguro es todo esto y ms. Es un servidor confiable,con respaldo, que en caso de fallar puede restablecerse con rapidez. Es ex-pandible de forma que pueda dar servicio a grandes cantidades de trfico.

Aunque la criptografa es ampliamente reconocida como prerrequisito

para el comercio en Internet no es ni estrictamente necesaria para la seguridaden la Web, ni suficiente para garantizarla. Por ello, en este trabajo de Tesis se

utilizar el trmino Web con facilidades criptogrficas para denominar a un ser-vidor Web que instrumenta protocolos criptogrficos, ya que como veremos laseguridad en la Web es mucho mas que la proteccin contra la intercepcin.

Por qu atacar un servidor Web?

A continuacin se analizan algunas de las razones que llevan a los ata-cantes a querer introducirse en un servidor Web.




21

?? Publicidad:Un sitio Web es la cara visible de una empresa al

mundo, y el violar la seguridad de un espacio visitado por cientos de miles de

personas en pocas horas, es atractivo para atacantes ideolgicos.?? Comercio: Muchos servidores Web estn relacionados con el

comercio y con dinero. Por esta razn los protocolos criptogrficos integradosa Navigator de Netscape y otros navegadores fueron originalmente incluidos

para permitir a los usuarios enviar nmeros de tarjetas de crdito por Internetsin preocuparse de que fueran interceptados. As los servidores Web se hanconvertido en repositorios de informacin financiera confidencial, blanco intere-sante para los atacantes. Adems los servicios comerciales que prestan tam-bin los tornan interesantes.

?? Extensibilidad de los servidores:Debido a su naturaleza, los

servidores Web estn diseados para ser extensibles, lo cual hace posible co-nectarlos con bases de datos, sistemas heredados y otros programas que seejecutan en la red de una organizacin. Si no se implementan de modo ade-

cuado, los mdulos que se agregan a un servidor Web pueden comprometer laseguridad de todo el sistema.

?? Extensibilidad de los navegadores:Adems de poder extender

los servidores Web, tambin los clientes Web pueden serlo. Las aplicacionesauxiliares pueden enriquecer la experiencia de la Web con diversas caracters-ticas nuevas que no son posibles utilizando solo el lenguaje HTML. Por desgra-

cia, estas tecnologas tambin pueden revertirse y ponerse en contra del usua-rio del navegador, muchas veces sin su conocimiento.

?? Soporte complicado: Los navegadores necesitan servicios ex-

ternos como Servicio de Nombres de Dominio (DNS, Domain Name Service) y

el enrutamiento del Protocolo de Internet (IP, Internet Protocol) 7para funcionarbien. La solidez y confiabilidad de tales servicios pueden ser desconocidas yvulnerables a errores de programacin, accidentes y subversin. La subversinde un servicio de ms bajo nivel puede causar problemas tambin a los nave-gadores.

?? Ritmo de desarrollo:El crecimiento explosivo del comercio elec-

trnico y del WWW ha sido empujado (y a su vez empuja) por un ritmo frenticode innovacin y desarrollo. Los proveedores liberan nuevas caractersticas yplataformas de software, muchas veces prestando mnima (o nula) atencin a

7 Computadoras especiales llamadas enrutadoras, usan un protocolo de Internet para moverbits de informacin a travs de Internet. Cada paquete de informacin cuenta con la direccinIP tanto de la computadora que lo envi como de la que recibe el paquete. Una direccin IP esun nmero de identif icacin nico de la computadora tal como es reconocida por las demscomputadoras en Internet.




22

la verificacin8, diseo y seguridad adecuados. El mercado presiona al usuario

a adoptar las nuevas versiones a fin de permanecer competitivos. Sin embargo,

estos programas pueden no ser compatibles con las prestaciones anteriores ocontener vulnerabilidades desconocidas para el pblico en general.

La solucin a estos problemas no es desdear la tecnologa de la Websino, por una parte, comprender sus limitaciones y, por la otra, adoptar medidasde seguridad adecuadas.

Componentes de la seguridad en la Web

Los tres siguientes elementos componen la problemtica de proteger si-tio Web: [E-1]

?? Asegurar el servidor y los datos que contiene: el servidor debe

poder continuar operando y la informacin que en l reside debe ser modificadaslo por quienes poseen la autorizacin y ser distribuida slo a quienes se des-ee distribuir. Para asegurar la computadora en s, se deben utilizar tcnicastradicionales de seguridad computacional garantizando a los usuarios, autori-zados del sistema, las capacidades necesarias para hacer su trabajo y sloesas capacidades.

?? Asegurar la informacin que viaja entre el servidor Web y elusuario:esta informacin no puede ser leda, modificada ni destruida por ter-

ceros. Asegurar fsicamente la red de forma que la intercepcin sea imposible

sera utpico debido a su costo, las soluciones pasan por ocultar la informacinque se desea asegurar dentro de la informacin que parece no tener importan-cia. Esto es encriptar la informacin de forma que no pueda ser decodificadapor nadie que no posea la llave correcta.

?? Asegurar la computadora del usuario: garantizar que la informa-

cin, datos o programas descargados no causarn daos a los usuarios. Lasfallas de seguridad en los navegadores puede permitir que los usuarios des-carguen programas hostiles que pueden permanecer inactivos hasta que se

teclee, por ejemplo el nmero de una tarjeta de crdito, capturar la misma yenviar esta informacin a travs de Internet.

Es tambin un reto de seguridad verificar la identidad del usuario al ser-vidor, verificar la identidad del servidor al usuario, asegurar que los mensajes

8La revisin del diseo es una tarea fundamental ya que los diseos, como el buen vino, debeestacionarse, decantarse y fermentarse antes de ser consumible. Muchas veces somos re-nuentes a revisar nuestros diseos y replantearnos los problemas, pero subiramos a un avindonde el ingeniero aeronutico tuvo pereza de revisar sus diseos? El rediseo y replantea-miento debe formar parte del cronograma de cualquier proyecto informtico.




23

enviados entre cliente y servidor sean oportunos, confiables y sin repeticiones,

llevar bitcoras y auditar informacin sobre las transacciones, equilibrar la car-

ga sobre los servidores.

Tarjetas de crdito viajando por la Web

La tarjeta de crdito es un mtodo de pago que permite transferir valorsin transmisin de objetos fsicos. No es una idea nueva, el crdito es mencio-

nado en escritos que datan del ao 1750 a.c., la nocin moderna de crdito alconsumidor es de principio del siglo XIX y aparece junto con el liberalismo eco-nmico de Adam Smith. En Estados Unidos, pas donde el crdito se ha con-

vertido en uno de los instrumentos de pago ms utilizados, se empez a popu-

larizar despus de la Guerra Civil, cuando las compaas manufactureras demquinas de coser comenzaron a vender en pago a plazos.

La tarjeta de crdito moderna no existi hasta 1949, cuando AlfredBloomingdale, Frank McNamara y Ralph Snyder concibieron la idea de esta-blecer una posibilidad de crdito que sirviera para viajar ya que si bien el retirarproductos de lugares donde uno era conocido se haba popularizado en los

Estados Unidos, era imposible comprar sin dinero o cheques en lugares dondeuno no era conocido y esto era un problema a la hora de hacer viajes de nego-cios donde una persona deba pagar restaurantes y hoteles. Surgi as la tarje-

ta Diners Club (Club de los Comensales).

Hoy en da existen miles de tarjetas de pago, algunas emitidas por unasola institucin financiera, otras funcionan como grandes organizaciones demembresa en donde en realidad la tarjeta es otorgada por un banco miembro.Los bancos imponen tasas de inters sobre el crdito otorgado y contratan auna empresa procesadora de tarjetas bancarias para que mantenga la cuentade clientes y comerciantes. El servicio que otorga la organizacin de membre-sa (Visa o MasterCard) es el establecimiento de polticas y la operacin inter-bancaria.

Las tarjetas de crdito son la forma ms popular para pagar servicios uobjetos en la Web en la actualidad, como lo demuestran estudios realizadossobre el comercio en la red por Global Concepts [W-13] por ello en lugar de

intentar buscar un sistema que la sustituya, la mayora de los sistemas decompra en Internet, utilizan las tarjetas de crdito.

La proteccin del nmero en tarjetas de crdito para transaccin en lneaes un ejemplo tpico de la necesidad de la seguridad de la Web. La Figura B,




24

muestra un ejemplo de una transaccin con tarjeta de crdito en la Web para

observar los riesgos.

Un sujetoA utiliza su computadora para conectarse con un almacn de

msica en la Web, navega por el catlogo de discos, encuentra uno que desea

comprar y crea la orden de pedido. Ingresa su nombre, direccin, nmero detarjeta de crdito, fecha de vencimiento de la misma y presiona un botn paraenviar el pedido.

Figura B.: Compra de un CD con tarjeta de crdito a travs de Internet.

Tanto el tarjeta habiente como el comerciante enfrentan riesgos en esta

transaccin, para el tarjeta habiente son dos riesgos obvios:

?? El nmero de su tarjeta de crdito puede ser interceptado y utili-zado para hacer fraudes, de lo cual el sujeto no se percatara hasta que reciba

su estado de cuenta o hasta que su tarjeta quede sobregirada.




25

?? Podra hacerse el cargo a la tarjeta de crdito pero nunca llegar elpedido, cuando el sujetoA investiga la pgina Web ya no existe y no puede

localizar a la compaa que le realiz el cobro.

Luego veremos mtodos diseados para combatir estos dos riesgos uti-lizando una tcnica matemtica para revolver la informacin conocida comoencriptacin y soportando un complejo sistema de identificacin digital. El suje-toA tiene la certeza de que detrs de la pgina Web del almacn de msica

estn las personas que son quienes dicen ser, como se muestra en la Figura C.

Figura C.: Transaccin en lnea protegida.

En realidad el consumidor est protegido en el caso que le interceptaransu nmero de tarjeta de crdito y no es necesario verificar la identidad de los

comerciantes ya que stos no podran cobrar una compra hecha con tarjeta decrdito a menos que el banco le provea una lnea de crdito, lo cual implica un

largo procedimiento de solicitud (mucho ms arduo que el que podramos reali-

zar como consumidores), una verificacin de fondos y hasta en la mayora delos casos una visita fsica.

La idea de asegurar las transacciones con tarjetas de crdito es impor-tante a la hora de tranquilizar al consumidor, ms que a la hora de protegerlo.Esta tecnologa en realidad protege a los bancos y comerciantes ya que si elnmero de tarjeta es robado debido a negligencia del comerciante ste es res-

ponsable ante el banco de cualquier fraude cometido con ese nmero, a partirde esto las compaas emisoras de tarjetas de crditos exigen que las transac-ciones en lnea se realicen con servidores Web con caractersticas criptogrfi-cas.




26

Transacciones de pagos interbancarios de tarjetas

Una transaccin comn de tarjeta de crdito involucra a cinco partes:

?? El cliente.?? El comerciante.?? El banco del cliente.?? El banco del comerciante (banco adquiriente).?? La red interbancaria.

Y consta de diez pasos que se grafican en la Figura D:

1. El cliente entrega su tarjeta de crdito al comerciante.2. El comerciante pide autorizacin al banco adquiriente.

3. La red interbancaria enva un mensaje del banco adquiriente albanco del consumidor pidiendo autorizacin.4. El banco del cliente enva una respuesta al banco adquiriente me-

diante la red interbancaria.5. El banco adquiriente notifica al comerciante que el cargo ha sido

aprobado o rechazado.6. En caso de haber sido aprobado el comerciante realiza la orden

de compra.7. Luego el comerciante presentar cargos al banco adquiriente.8. El banco adquiriente enva la solicitud de pago al banco del cliente

mediante la red interbancaria.9. El banco del cliente acredita el dinero en una cuenta de pagos in-

terbancarios deduciendo algn cargo en concepto del servicio dependiendo delconvenio. Este dinero ser debitado de la cuenta del cliente de acuerdo a lasfechas de cierre y pago pactadas entre el cliente y el banco del cliente.

10. El banco adquiriente acredita en la cuenta del comerciante debi-tando algn cargo en concepto del servicio dependiendo del convenio entre l yel comerciante.

Banco del consumidor

Red de pago interbancario

Consumidor Comerciante

Informacin de la tarjetade crdito del consumidor

Banco adquiriente

34

8

2

5

7

10

9

1

6

Figura D.: Participantes de una transaccin tpica con tarjeta de crdito.




27

El registro de la transaccin de la tarjeta de crdito, durante ms de

treinta aos se han llevado en papel hasta que en los ochenta, American Ex-

press comenz a digitalizarlos entregando a los clientes impresiones digitalesdel mismo. Con el tiempo la informacin que contiene el comprobante se ha idoincrementando. En la actualidad, aunque vara, de tarjeta en tarjeta es comnencontrar los siguientes datos:

?? Nombre del cliente.

?? Nmero de la tarjeta de crdito.

?? Direccin del cliente.

?? Fecha de transaccin.

?? Monto de la transaccin

?? Descripcin de la mercadera o servicio.?? Cdigo de autorizacin.

?? Nombre del comerciante.

?? Firma del cliente.

La informacin contenida en el comprobante es til para consumar tran-sacciones y combatir el fraude.

Los bancos cobran una comisin por las prestaciones con tarjeta de cr-

dito. Esta comisin vara de acuerdo a convenios entre el banco y el comercio,

entre el 1 y el 7%. Este porcentaje lo paga el comerciante de modo que si unapersona compra $100 en productos en un comercio X, ver en su estado decuenta un cargo de $100 pero al comerciante se le depositarn $97 quedndo-se el banco adquiriente con la diferencia. Algunos bancos adems cobran a loscomerciantes una cuota fija por transaccin y autorizacin, adems de una ins-

cripcin anual y del alquiler de la terminal de tarjeta de crdito.

Los bancos emisores obtienen ganancias de las cuotas impuestas alconsumidor y de los intereses resultantes, adems del costo de mantenimiento.

La mayora de los comerciantes deberan preferir recibir pagos con tarje-ta de crdito en lugar de cheque o efectivo pese al porcentaje que se le debita,ya que este sistema brinda una confianza instantnea de que se ha hecho elpago y el dinero se depositar en la cuenta del comerciante a diferencia de los

cheques que pueden no tener fondos o el efectivo que puede ser falso y ansiendo cheques o dinero efectivo bueno, son objetos fsicos que se puedenperder, robar, destruir, etc.




28

En algunas ocasiones es necesario cancelar el cargo hecho a la tarjeta

ya sea por devolucin de mercadera o cancelacin del servicio. Los bancos

emisores de tarjetas estn preparados para transferir cargos en ambos senti-dos sea por un dbito o por un crdito. De la misma forma se puede cancelarun dbito que se prueba fraudulento.

Los primeros sistemas de pagos basados en Internet tomaron la infraes-tructura de transacciones con tarjetas de crdito de forma natural, ya que, mu-chos comerciantes y clientes estaban habituados a este sistema.

El nmero de tarjeta de crdito es una clave de acceso utilizada pararealizar cargos en la cuenta del consumidor. Es considerado un dato sumamen-te sensible y la responsabilidad legal por el robo de un nmero de tarjeta de

crdito a causa de una transaccin es para el comerciante, ya que se considerauna negligencia de seguridad.

Uso de las tarjetas de crdito en Internet

Existen tres formas de realizar una transaccin con un nmero de tarjetade crdito en la Web:

?? Fuera de lnea:en este mtodo el cliente realiza la orden de com-

pra utilizando la Web. Luego el comerciante llama por telfono al cliente y

verifica la orden de compra y le solicita los datos de la tarjeta de crdito. Losriesgos de este mtodo son equivalentes a enviar el nmero de tarjeta de crdi-to sin encriptar ya que la lnea de telfono podra estar intervenida, pero sin

embargo existe porque en el imaginario de los consumidores es aterradora laidea de mandar el nmero de tarjeta de crdito a travs de Internet. Ademslas personas parecen comprender las leyes bsicas de fraude con tarjeta decrdito e intervencin telefnica mejor que estas mismas leyes aplicadas a laintervencin de transaccin electrnica de datos. Es intencin del autor promo-ver en el lector la idea de la importancia de cambiar este punto de vista del

mercado, ya que en rigor este mtodo es el ms inseguro. Debemos, con lacorrecta promocin de las polticas de seguridad aplicadas a la empresa, gene-rar confianza en el cliente.

?? En lnea c on enc rip taci n: el consumidor enva el nmero de

tarjeta al comerciante a travs de Internet mediante una transaccin encriptada.Este mtodo es el nico recomendable.




29

?? En lnea s in enc rip tacin: el consumidor enva el nmero de tar-

jeta, ya sea utilizando correo electrnico o un comando POST o GET de HTTP.

Esta tcnica es vulnerable a la intercepcin.

Mtodos alternativos a la tarjeta de crdito para compras en In-ternet

Desde que existe el comercio electrnico se han buscado distintos m-todos alternativos de pago intentando reducir el costo de transaccin; propor-cionar anonimato, ya que con los sistemas de tarjeta de crdito se le debe daral comerciante varios datos que algunos consumidores son reacios a propor-cionar; buscar mayor mercado, muchos potenciales clientes del mercado elec-trnico no tienen posibilidad de acceder a una tarjeta de crdito por no cumplir

con los requisitos exigidos, los nuevos sistemas al no basarse en crdito podr-an ser menos restringidos permitiendo entrar al mercado electrnico a muchospotenciales consumidores.

Algunas compaas han incurrido en sistemas prepagos donde el adqui-riente abona por adelantado una suma de dinero en efectivo y obtiene una tar-

jeta con el monto pagado. Este mtodo no tubo gran difusin.

Otra forma de pago utilizada por empresas es el registrar personalmenteen una sucursal los datos del cliente y de su tarjeta de crdito. El cliente recibeun identificador de usuario y clave para realizar compras en una cuenta corrien-te virtual para luego recibir el cargo en su tarjeta. De esta forma el nmero de latarjeta no viaja por Internet y el usuario siente que la atencin personalizada dela sucursal le transmite seguridad.

Las tarjetas de dbito con marcas de tarjetas de crdito como Visa oMasterCard permiten realizar una compra y el cargo se debita de inmediato dela cuenta del cliente procesndose en la misma red interbancaria de las tarjetasde crdito. Las tarjetas de dbito estn reguladas por leyes distintas a las de

crdito, lo que impacta en varios aspectos de su uso, por ejemplo el consumi-dor no est protegido en forma automtica si la tarjeta es robada, stas y otras

diferencias deben leerse con sumo cuidado en el acuerdo con el banco emisor.

Estos medios alternativos de pago en Internet no se han popularizado,siendo la tarjeta de crdito la opcin ms viable.




30

Cmo evaluar un sistema de pago mediante tarjetas de crdito

Las siguientes preguntas se deben hacer a la hora de evaluar un siste-ma de pagos.

?? Est la informacin de los nmeros de tarjetas de crdito, y elresto de la informacin sensible y privada almacenada, e ncriptada?

?? Los nmeros de tarjetas de crdito de transacciones no recu-rrentes son eliminados una vez terminada la transaccin?

?? Comprueba el sistema el dgito verificador del nmero de tarjeta

de crdito proporcionado al introducirlo?

?? Realiza el sistema autorizaciones en tiempo real?

?? Est el sistema preparado para manejar cancelaciones de car-gos?

De las respuestas a estas preguntas depender el nivel de seguridad enel manejo de datos de tarjetas de crdito de un sitio Web.

Consideraciones legales

El autor mexicano Julio Tellez Valdez [W-8] seala que los delitos infor-mticos son "actitudes ilcitas en que tienen a las computadoras como instru-

mento o fin (concepto atpico) o las conductas tpicas, antijurdicas y culpablesen que se tienen a las computadoras como instrumento o fin (concepto tpico)".Por su parte, el tratadista penal italiano Carlos Sarzana, sostiene que los deli-tos informticos son "cualquier comportamiento criminal en que la computadoraest involucrada como material, objeto o mero smbolo".

Los ejemplos de delitos informticos son muchos y con las posibilidadestecnolgicas, aumentan en cantidad. Algunos de ellos son: Falsificacin dedocumentos va computarizada, variacin de la situacin contable,

planeamiento y simulacin de delitos convencionales, sustraccin o copiado de

informacin confidencial, modificacin de datos, uso no autorizado deprogramas de computo, alteracin en el funcionamiento de los sistemas,propagacin intencional de virus informticos, acceso a reas informatizadas

en forma no autorizada, intervencin en las lneas de comunicacin de datos oteleproceso, programacin de instrucciones que producen un bloqueo total alsistema, destruccin de software o hardware por cualquier mtodo, secuestrode soportes computarizados con fines de chantaje, uso ilegitimo de passwordsy la entrada de un sistema informtico sin la autorizacin del propietario, uso noautorizado de informacin almacenada en una base de datos, lectura de un

mensaje electrnico ajeno, estafas y engaos en transacciones electrnicas,

mensajes que remitan consignas, informacin y planes de actuacin de




31

consignas, informacin y planes de actuacin de cualquier delito que pueda ser

trasladado de la vida real al ciberespacio o al revs.

Estos delitos afectan de distinta forma a las vctimas. Siendo algunasms preocupantes que otras. En este trabajo veremos como elaborar estrate-

gias que nos protejan de varios de estos ataques. Centrndonos en aquellosque afectan la transaccin de datos en el comercio electrnico.

Los puntos a continuacin detallan algunas consideraciones a tener encuenta para no incurrir en un delito informtico relacionado al comercio electr-nico:

?? Si se est consciente de una actividad criminal y no se informa,

legalmente se es responsable como cmplice.

?? Si una computadora se utiliza para actividades ilegales y su dueono toma acciones definitivas puede ser acusado con una demanda civil que

busque compensacin de los daos ocasionados.

?? Si un ejecutivo de una empresa es consciente de una actividadilegal dentro de la misma y decide no investigar y perseguir dicha actividad, los

accionistas pueden hacerle una demanda.

Si cree se que el sistema est en riesgo o ha sido utilizado para actos

ilegales o inapropiados, se debe considerar levantar un acta penal y buscarasesora legal teniendo en cuenta que se pueden ver involucrados cdigos civi-les y penales de varios pases ya que Internet se caracteriza por su nivel altode globalizacin.

A continuacin describimos polticas a seguir para resguardarse de pro-blemas legales:

?? Utilizar el derecho de autor registrando el cdigo fuente e indican-do en los mismos que son propiedad privada, aumentando la posibilidad de

persecucin a gente que robe su cdigo.?? Asegurarse de que los usuarios sepan que pueden y que no pue-

den hacer.

?? Poner sobre aviso a los usuarios de que se los est monitoreandopor su propia seguridad, ya que de lo contrario, el monitoreo podra ser consi-derado una violacin a la privaca.

?? Tener buenas polticas de back up, para que las mismas puedan

ser utilizadas como evidencia legal de como estaba el sistema antes de un ata-que y para recuperarse del mismo.




32

?? Las bitcoras pueden ser valiosas durante una investigacin o

proceso judicial, deben tener fecha, hora y descripcin del evento que se ha

producido.?? Tener por escrito polticas de seguridad y asegurarse de que cada

persona sea empleado o usuario del sistema est en conocimiento de las mis-mas.

?? Cuando ocurre algn hecho en el que deba intervenir algunaagencia judicial no se debe permitir al personal de la empresa conducir su pro-pia investigacin.

?? Los empleados que traten informacin sensible deben firmar unconvenio de confidencialidad.

Se deben tener planes de contingencia con abogados y aseguradoras

que contengan acciones a emprender en caso de ser vctima de una irrupcin odelito informtico.

Administracin de riesgos

La seguridad en la Web es difcilmente absoluta, mientras ms medidasde seguridad se utilicen, menor es el riesgo que se corre. Se debe reducir elriesgo tanto como sea posible y planear las medidas para recuperarse rpida-

mente de un incidente de seguridad.

La seguridad Web no es fcil ni barata pero la inseguridad puede seran ms costosa.

La seguridad no es un producto que pueda comprarse, es parte integralde una organizacin y de la mentalidad de sus componentes. [E-1]




33

Parte 2 Tecnologas de proteccin

En este captulo se analiza la necesidad de proteger los datos y la priva-cidad del cliente, brindndole seguridad. Las polticas de seguridad que debi-eran ser parte de la tica, que un sitio Web de comercio electrnico mantienehacia sus clientes. Se realiza un acercamiento a los conceptos involucrados enlas tcnicas de identificacin digital y firma electrnica. Tambin se muestra eluso de los certificados digitales, como medio de lograr que los clientes sientan

la confianza necesaria para realizar transacciones que impliquen el intercambiode datos sensibles.

Se explican los conceptos involucrados en la criptografa, cmo piezaimportante de la seguridad en la Web.

En particular nos concentramos en la problemtica de proteger un sitioWeb, qu soluciones arquitectnicas se pueden implementar y cuales son sus

diferentes implicancias.




34

Proteccin de la privacaEs importante prestar atencin a la proteccin de la privaca personal enla Web ya que esta es una razn por la que muchos potenciales usuarios delcomercio electrnico permanecen renuentes a serlo. Adems de tener presentela defensa que otorga la legislacin a los usuarios.

Cada vez que un navegador muestra una pgina Web, se crea un regis-tro en el servidor. El mismo contiene el nombre y direccin IP de la computado-

ra que hizo la conexin, la fecha y hora de la peticin, el URL solicitado, eltiempo que tom descargar el archivo. Si se ha usado autenticacin mediante

HTTP se registra el nombre de usuario, cualquier error que haya ocurrido, lapgina anteriormente descargada y el tipo de navegador utilizado.

Una de las violaciones a la privacidad del usuario ms frecuentementeusada es registrar la pgina descargada anteriormente, de esta manera lasempresas adems de evaluar la efectividad de su publicidad en otras pginaspueden hacer un estudio de la forma en que un usuario navega a travs de unsitio, sus preferencias e intereses. A tal efecto se utilizan archivos, llamadoscookies, que se graban en la computadora del usuario al ejecutarse algn

evento. Para ciertos tipos de aplicaciones basados en Web, como por ejemplo

los carritos de compras de los sitios de e-commerce, son necesarias. Si bienlas cookies pueden emplearse para mejorar la seguridad, tambin para elimi-

narla. Por desgracia esto no es eleccin del usuario. Los navegadores deberandar la posibilidad de controlar las cookies presentando las siguientes opciones:

?? Posibilidad de habilitar o deshabilitar el envo y almacenamientode cookies.

?? Indicacin de si se est utilizando una cookie.

?? Capacidad de especificar un conjunto de dominios para los que sepueden almacenar cookies, permitiendo que si el usuario tiene confianza en un

sitio en particular pueda utilizar la aplicacin slo para ese sitio.

Los navegadores ms comunes notifican al usuario cuando se recibeuna cookie, si ste especifica esa opcin, pero no permiten deshabilitar el envo

de cookies que ya se han aceptado, rehusar las cookies de algunos sitios perono de otros o rehusarlas de manera categrica sin ser molestado. El hecho deque no exista un mtodo fcil para deshabilitar el mecanismo de cookies nosignifica que no pueda hacerse. Algunos trucos son:




35

?? En sistemas Unix, reemplazar el archivo de cookies con un link a

/dev/null.

?? En Windows reemplazar el archivo de cookies por uno de longitudcero con permisos que nieguen la lectura y la escritura.

?? Aceptar las cookies que se desee y luego cambiar los permisosdel archivo a slo lectura, evitando el almacenamiento de ms cookies.

FiguraE.: El sitio est certificado por e-trust y lo promociona.

Los negocios en lnea saben mucho acerca de sus clientes, como en

cualquier negocio, conocen los nombres, direccin, telfono y nro de tarjeta decrdito. Pero tambin pueden registrar con quin intercambian correo electrni-co, intereses de mercado, etc. La Fundacin de la Frontera Electrnica ha des-arrollado un proyecto llamado e-trust (confianza electrnica) que consiste en

someter a auditoras peridicas a las empresas de comercio electrnico. Las




36

que cumplan con un estndar, que especifica lo que se puede hacer con los

datos sensibles de los usuarios, podran certificarse como sitio e-trust. La Figu-

ra E muestra un sitio que promociona su certificado e-trust como forma de ge-nerar confianza en el cliente.

Al hacer clic en el vinculo del logo aparece un certificado con el detallede la certificacin, como vemos en la Figura F.

FiguraF.: Pagina de validacin del certificado e-trust del sitio.

En Estados Unidos est en vigencia desde 1997 el Acta de Proteccin

de la Privaca de los Consumidores de Internet que prohbe a los servicios enlnea divulgar cualquier informacin personalmente identificable sobre susclientes, a menos que con anterioridad, el cliente hubiese dado su expresa au-torizacin por escrito. Por esto es que en Internet se ha hecho comn que al-gunos servicios se ofrezcan de forma gratuita a cambio de que uno ingreseciertos datos como la direccin de correo electrnico y su consentimiento pararecibir publicidad. Los datos son vendidos a distintas consultoras de mercadeoque los utilizan para los ms diversos fines.




37

A continuacin se presenta una lista de polticas empleadas por los sitios

que respetan la privaca de los datos sensibles.

?? No exigir a los usuarios que se registren para utilizar su sitio.

?? Permitir a los usuarios registrar su direccin de correo electrnico

slo si desean recibir boletines.

?? No compartir con otra compaa los datos de un usuario sin la au-torizacin explcita de este, para cada una de las compaas con las que sedesea compartir esas direcciones.

?? Siempre que se enve un mensaje de correo electrnico a losusuarios, explicarles como se obtuvo su direccin y como puede hacer paraborrarse de la lista de distribucin si as lo desea9.

?? No permitir el acceso a las bitcoras.?? Eliminar las bitcoras cuando ya no sean necesarias.

?? Eliminar de las bitcoras toda la informacin personalmente identi-ficable de los usuarios que no sea necesaria para la misma.

?? Encriptar las bitcoras.

?? No dar ninguna informacin personal de los usuarios.

?? Aplicar polticas internas de privaca con los empleados, una or-

ganizacin es la suma de sus componentes.

?? Informar a los usuarios acerca de las polticas en la pgina princi-

pal y permitir que la compaa sea auditada por terceros si surgen preguntassobre su poltica.

9Esto es obligatorio para no violar la legislacin sobre SPAM (correo electrnico no deseado)que especifica que un mail no podr ser considerado SPAM mientras el usuario posea un modoexplcito de ser removido de la lista de distribucin.




38

Tcnicas de identificacin digitalLa identificacin es parte indispensable de la vida actual. Es cosa de to-dos los das identificarnos mediante documentacin: al cobrar un cheque, al

abrir una cuenta en un negocio, al abonar con tarjeta de crdito o dbito, al so-licitar empleo, al ingresar en un edificio, al adquirir propiedades, ante los repre-sentantes de alguna fuerza de orden y justicia y en todos los casos en que ne-cesitemos probar de forma confiable quienes somos. Los smbolos fsicos co-mo el DNI, cdula u otra tarjeta de identificacin permiten a las empresas ex-tendernos crdito y confianza. Estos medios de identificacin no crean por simismos un ambiente de negocios estable, trabajan a la par del sistema legal. Si

una persona firma un cheque sin fondos o no cumple con un contrato la parteperjudicada puede esperar una reparacin satisfactoria mediante el orden legal,

asegurndose previamente de verificar que la persona que le ocasion el daoes quien dice ser.

Para los clientes tambin es importante verificar que las empresas sonquien dicen ser, para esto se puede utilizar la ubicacin fsica de la misma, ya

que en el Registro Pblico de la Propiedad consta quin es el dueo de unapropiedad y se puede recurrir a la justicia para exigir una reparacin en caso deser damnificado por una empresa ubicable.

En el mundo digital, en cambio, las cosas pueden no ser como parecena simple vista y ambas partes, cliente y empresa podran no ser quien dicenser.

Identificacin computarizada

Tradicionalmente las computadoras personales no identificaban a sususuarios sino que le daban acceso total a quin se sentara frente al teclado.

Hoy en da con los sistemas operativos con mdulos avanzados de seguridad y

tendientes a operar en red, las cosas han cambiado. Sin embargo la preocupa-cin de estos sistemas de identificacin no son que la persona sea legalmentequien dice ser, sino que el usuario est autorizado para acceder a sus recur-sos. Se pueden identificar cuatro tipos de sistemas de identificacin que se de-tallan a continuacin.

a) Sistemas basados en clave de acceso: algo que se sabe

Este fue el primer sistema de identificacin digital, donde cada usuariodel sistema tiene un nombre de usuario y una clave de acceso que se corres-ponden para probar la identidad del mismo. La premisa es: si el usuario ingresa




39

un nombre de acceso valido y una clave que se corresponde con la que est

almacenada para ese nombre de usuario, simplemente debe ser quien dice ser.

Existen varios inconvenientes con este tipo de identificacin:

?? El sistema debe tener archivado el nombre de usuario y su

correspondiente clave antes de comprobar la identidad.

?? La clave puede ser interceptada y quien lo haga puede hacersepasar por el usuario.

?? El usuario puede olvidar su clave de acceso.

?? Una persona que conozca al usuario puede inferir su clave si este

no aplica una buena poltica al elegir la clave.

?? El usuario puede compartir su clave con otras personas de formavoluntaria.

b) Sistemas b asados en prendas fsicas: algo q ue se t ieneOtra forma de probar la identidad de un usuario es mediante una prenda

fsica, como las tarjetas de acceso. Cada tarjeta tiene un nmero nico y el sis-tema tiene una lista con tarjetas autorizadas y los privilegios de cada una. Pero

al igual que los sistemas basados en claves de acceso, hay algunos inconve-nientes con este sistema.

??

La prenda no prueba quien es la persona. Cualquiera que la tengaacceder a los privilegios asociados a la misma.

?? Si un usuario pierde su prenda, no podr acceder al sistema aun-que tenga todos los derechos.

?? Algunas prendas pueden ser copiadas o falsificadas.

?? Este sistema en realidad no autoriza al individuo sino a la prenda.

c) Sistemas basados en biomtrica: algo qu e se esEsta tcnica realiza mediciones fsicas al usuario y lo compara con regis-

tros almacenados con anterioridad. La biomtrica se puede realizar a travs de

huellas digitales, forma de la mano, patrn de vasos sanguneos de la retina,patrones de ADN, registro de voz, caligrafa, forma de teclear, si bien es unaforma bastante confiable de determinar la identidad de un usuario, tiene algu-

nos problemas.

?? La firma biomtrica de una persona debe estar almacenada en unbanco de datos de una computadora antes de ser identificada.

?? Requiere de equipamiento caro y de propsito especfico.

?? El equipo de medicin es vulnerable al sabotaje y fraude.


http:///reader/full/seguridad-en-la

Seguridad en Las Transacciones on Line de Comercio Electrónico

Documents

Transcript of Seguridad en Las Transacciones on Line de Comercio Electrónico