Principios de seguridad (La tríada AAA)
Para administrar correctamente la seguridad, el sistema debe cumplir tres pasos fundamentales:
- Identificación: El usuario declara quién es (por ejemplo, nombre de usuario).
- Autenticación: El usuario demuestra que es quien dice ser (por ejemplo, contraseña, biometría).
- Autorización: El sistema otorga permisos específicos (lectura, escritura, ejecución) una vez validada la autenticación.
Control de acceso y contraseñas
Políticas de contraseñas: Deben establecerse requisitos mínimos: longitud adecuada, combinación de caracteres, evitar palabras del diccionario y forzar cambios periódicos.
Ataques a contraseñas:
- Fuerza bruta: Probar todas las combinaciones posibles.
- Diccionario: Probar palabras comunes.
Estos ataques se mitigan, entre otras medidas, limitando el número de intentos fallidos.
Medidas de seguridad (activa vs. pasiva)
Seguridad activa (prevención)
Conjunto de medidas para evitar daños antes de que ocurran. Ejemplos:
- Contraseñas
- Encriptación
- Cortafuegos (firewall)
- Antivirus
- Control de acceso
Seguridad pasiva (recuperación)
Medidas que se activan después de un incidente para minimizar el impacto. Ejemplos:
- Copias de seguridad (backups)
- SAI (Sistemas de Alimentación Ininterrumpida)
- Sistemas redundantes (RAID)
Software malicioso (malware)
Malware: Programas diseñados para acceder al sistema sin autorización o dañarlo. Tipos principales:
- Virus: Código incrustado en un programa huésped; necesita intervención humana para ejecutarse.
- Gusano (worm): Se propaga automáticamente por la red (correo, explotación de vulnerabilidades) sin intervención humana.
- Troyano: Programa aparentemente legítimo que, al ejecutarse, abre una puerta trasera (backdoor) para el control remoto del atacante.
- Spyware: Software espía que roba información o hábitos de navegación para fines comerciales o delictivos.
- Phishing: Técnica de ingeniería social (generalmente por email) que suplanta la identidad de una entidad confiable (por ejemplo, un banco) para robar credenciales.
- Rogueware: Falsos antivirus o herramientas de seguridad fraudulentas.
Tipos de intrusos
- Hacker: Experto que busca aprender, descubrir fallos o mejorar la seguridad; puede tener una ética que impide causar daño.
- Cracker: Persona que utiliza técnicas de hacking con fines delictivos, para dañar sistemas o lucrarse.
Recursos del sistema y actualizaciones
Sistema operativo original: Es fundamental para recibir actualizaciones y parches de seguridad automáticos que corrigen vulnerabilidades.
UAC (User Account Control): En Windows, avisa y pide permiso antes de realizar cambios que requieran privilegios de administrador.
Firewall: Bloquea o permite conexiones de red. Puede configurarse para bloquear todo o para emitir avisos.
Copias de seguridad (backups)
Son réplicas de datos para recuperarlos en caso de desastre o ataque (por ejemplo, malware). Tipos comunes:
- Copia completa (total): Copia todos los archivos seleccionados. Es lenta de realizar, pero la más rápida para restaurar.
- Copia incremental: Copia solo lo modificado desde la última copia (sea completa o incremental). Es la más rápida de hacer, pero la más lenta de restaurar (se necesita la copia total y todas las incrementales).
- Copia diferencial: Copia todo lo modificado desde la última copia completa. Es un punto medio en velocidad y tiempo de restauración.
Congelación de software
Programas (como Deep Freeze) que restauran la configuración inicial del equipo cada vez que se reinicia. Son ideales para aulas o cibercafés, ya que cualquier cambio no deseado o infección desaparece al reiniciar.
Criptografía (cifrado)
Criptografía: Ciencia para transmitir información de forma segura garantizando la privacidad e integridad.
- Criptografía simétrica: Usa una única clave para cifrar y descifrar. Es rápida, pero presenta el problema del intercambio seguro de la clave (ej. DES, AES).
- Criptografía asimétrica: Usa dos claves: clave pública (conocida por todos, para cifrar) y clave privada (solo la conoce el dueño, para descifrar). Resuelve el problema del intercambio de claves, pero es más lenta (ej. RSA).
- Función hash: Resumen matemático de un mensaje (ej. SHA, MD5). Si el archivo cambia un solo bit, el hash cambia totalmente; garantiza integridad.
- Firma digital: El emisor cifra el hash del mensaje con su clave privada. Garantiza:
- Autenticidad: Viene de quien dice ser.
- Integridad: No ha sido modificado.
- No repudio: El emisor no puede negar haberlo enviado.
Conceptos básicos
- Tiempo de inactividad: Tiempo que el sistema está caído. Puede ser planificado (mantenimiento) o no planificado (fallos).
- Alta disponibilidad: Se logra mediante la redundancia (duplicar componentes críticos como discos, fuentes de alimentación o servidores).
RAID
RAID (Redundant Array of Independent Disks) es un sistema que combina múltiples discos duros para obtener redundancia o velocidad. Tipos comunes:
- RAID 0 (Striping): Reparte datos entre discos. Mejora la velocidad pero no ofrece redundancia. Si falla un disco, se pierde todo.
- RAID 1 (Espejo / Mirroring): Crea una copia exacta en dos o más discos. Alta fiabilidad (si falla uno, el otro sigue), pero alto coste (se utiliza el 50% de la capacidad).
- RAID 5: Usa paridad distribuida. Tolera el fallo de un disco. Requiere un mínimo de 3 discos. Buen equilibrio entre coste y rendimiento de lectura.
- RAID 10 (1+0): Combina RAID 1 y RAID 0: grupos de espejos (1) unidos para velocidad (0). Es la opción más robusta y performante, pero cara.
Balanceo de carga y virtualización
- Balanceo de carga: Reparte las peticiones de los usuarios entre varios servidores (nodos) para que ninguno se sature. Si uno cae, los demás asumen la carga.
- Virtualización: Permite ejecutar múltiples máquinas virtuales (con diferentes sistemas operativos) sobre una sola máquina física mediante un hipervisor. Facilita la recuperación ante desastres y el ahorro de costes.
RGPD
RGPD (Reglamento General de Protección de Datos): normativa europea que unifica la protección de datos.
- Consentimiento: Debe ser inequívoco, explícito e informado. Requiere una acción afirmativa (no valen casillas premarcadas).
- Nuevos derechos: Se amplían los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) con:
- Derecho al olvido (supresión): Borrar datos o enlaces obsoletos o no autorizados.
- Portabilidad: Transferir tus datos de un proveedor a otro.
- Delegado de Protección de Datos (DPO): Figura obligatoria en organismos públicos y en grandes empresas para supervisar el cumplimiento.
- Sanciones: Muy severas: hasta 20 millones de euros o el 4% de la facturación global anual.
LSSICE (Ley de Servicios de la Sociedad de la Información)
LSSICE regula el comercio electrónico y los servicios online en España.
- Identificación: Las webs deben mostrar nombre, NIF, datos registrales y precios claros.
- Comunicaciones comerciales (SPAM): Prohíbe enviar publicidad sin el consentimiento expreso del destinatario (salvo relación contractual previa). Los correos deben identificarse como «Publicidad» y facilitar la baja gratuita.
Firma electrónica (Ley 59/2003)
- Firma electrónica avanzada: Permite identificar al firmante y detectar cambios en los datos.
- Firma electrónica reconocida: Es la firma avanzada basada en un certificado reconocido. Tiene el mismo valor legal que la firma manuscrita.