SEGURIDAD EN INFORMATICA

La seguridad informática, es el área de la informática que se enfoca en la protección de la infraestructura computacional y todo lo relacionado con esta (incluyendo la información contenida). Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la información. La seguridad informática comprende software, bases de datos, metadatos, archivos y todo lo que la organización valore (activo) y signifique un riesgo si ésta llega a manos de otras personas. Este tipo de información se conoce como información privilegiada o confidencial.
El concepto de seguridad de la información no debe ser confundido con el de seguridad informática, ya que este último sólo se encarga de la seguridad en el medio informático, pero la información puede encontrarse en diferentes medios o formas, y no solo en medios informáticos.
La seguridad informática es la disciplina que se ocupa de diseñar las normas, procedimientos, métodos y técnicas destinados a conseguir un sistema de información seguro y confiable.

La seguridad informática está concebida para proteger los activos informáticos, entre los que se encuentran.
La infraestructura computacional: Es una parte fundamental para el almacenamiento y gestión de la información, así como para el funcionamiento mismo de la organización. La función de la seguridad informática en esta área es velar que los equipos funcionen adecuadamente y anticiparse en caso de fallas, planes de robos, incendios, boicot, desastres naturales, fallas en el suministro eléctrico y cualquier otro factor que atente contra la infraestructura informática.

Los usuarios: Son las personas que utilizan la estructura tecnológica, zona de comunicaciones y que gestionan la información. La seguridad informática debe establecer normas que minimicen los riesgos a la información o infraestructura informática. Estas normas incluyen horarios de funcionamiento, restricciones a ciertos lugares, autorizaciones, denegaciones, perfiles de usuario, planes de emergencia, protocolos y todo lo necesario que permita un buen nivel de seguridad informática minimizando el impacto en el desempeño de los funcionarios y de la organización en general y como principal contribuyente al uso de programas realizados por programadores.

 Las amenazas
Una vez que la programación y el funcionamiento de un dispositivo de almacenamiento (o transmisión) de la información se consideran seguras, todavía deben ser tenidos en cuenta las circunstancias "no informáticas" que pueden afectar a los datos, las cuales son a menudo imprevisibles o inevitables, de modo que la única protección posible es la redundancia (en el caso de los datos) y la descentralización -por ejemplo mediante estructura de redes- (en el caso de las comunicaciones).
Estos fenómenos pueden ser causados por:

• El usuario: causa del mayor problema ligado a la seguridad de un sistema informático (porque no le importa, no se da cuenta o a propósito).
• Programas maliciosos: programas destinados a perjudicar o a hacer un uso ilícito de los recursos del sistema. Es instalado (por inatención o maldad) en el ordenador abriendo una puerta a intrusos o bien modificando los datos. Estos programas pueden ser un virus informático, un gusano informático, un troyano, una bomba lógica o un programa espía o Spyware.
• Un intruso: persona que consigue acceder a los datos o programas de los cuales no tiene acceso permitido (cracker, defacer, script kiddie o Script boy, viruxer, etc.).
• Un siniestro (robo, incendio, inundación): una mala manipulación o una malintención derivan a la pérdida del material o de los archivos.
• El personal interno de Sistemas. Las pujas de poder que llevan a disociaciones entre los sectores y soluciones incompatibles para la seguridad informática

Tipos de amenaza
El hecho de conectar una red a un entorno externo nos da la posibilidad de que algún atacante pueda entrar en ella, con esto, se puede hacer robo de información o alterar el funcionamiento de la red. Sin embargo el hecho de que la red no sea conectada a un entorno externo no nos garantiza la seguridad de la misma. De acuerdo con el Computer Security Institute (CSI) de San Francisco aproximadamente entre 60 y 80 por ciento de los incidentes de red son causados desde adentro de la misma. Basado en esto podemos decir que existen 2 tipos de amenazas:

• Amenazas internas: Generalmente estas amenazas pueden ser más serias que las externas por varias razones como son:

-Los usuarios conocen la red y saben cómo es su funcionamiento.
-Tienen algún nivel de acceso a la red por las mismas necesidades de su trabajo.
-Los IPS y Firewalls son mecanismos no efectivos en amenazas internas.
Esta situación se presenta gracias a los esquemas ineficientes de seguridad con los que cuentan la mayoría de las compañías a nivel mundial, y porque no existe conocimiento relacionado con la planeación de un esquema de seguridad eficiente que proteja los recursos informáticos de las actuales amenazas combinadas.
El resultado es la violación de los sistemas, provocando la pérdida o modificación de los datos sensibles de la organización, lo que puede representar un daño con valor de miles o millones de dólares.

• Amenazas externas: Son aquellas amenazas que se originan fuera de la red. Al no tener información certera de la red, un atacante tiene que realizar ciertos pasos para poder conocer qué es lo que hay en ella y buscar la manera de atacarla. La ventaja que se tiene en este caso es que el administrador de la red puede prevenir una buena parte de los ataques externos.

Por Claribel Diaz

VISA, relato de una estafa consensuada

Por. Claribel Diaz.

Generalmente no hablo de mi vida personal en este blog, pero en este caso se trata de cómo gracias a la (in)seguridad en los procesos internos de VISA pude ser estafado, y cómo la desidia de la empresa colabora para hacer que un delincuente haga dinero a costa de las víctimas.

Ante todo un contexto general: hace aproximadamente un mes salí a cenar a un reconocido restaurante de Buenos Aires, pagué normalmente con mi tarjeta de crédito VISA XXXX y seguí mi vida. Hace dos días me encontraba de viaje laboral en la ciudad de Quito, Ecuador, y a las 22 hs recibo un correo electrónico informando que se había registrado un nuevo débito automático de la empresa de energía EDESUR, de la que no soy usuario y ante la cual por supuesto nunca he realizado un pago.
 
Pensando en el uso dado a la tarjeta durante el último mes, averiguo el lugar donde seguramente me copiaron los datos del PAN (número de 16 dígitos del frente de la tarjeta) y CVV2 (3 dígitos verificadores del reverso) o directamente realizaron una clonación, el restaurante del inicio del relato. Con ese conocimiento me pongo en contacto con la persona cotitular de la cuenta (sexo femenino) en Buenos Aires para que haga el reclamo pertinente ante VISA, se anule el débito y dé de baja la tarjeta clonada.

Grande es mi sorpresa cuando la empresa informa que el reclamo no puede realizarse porque quien llamaba, debía ser el titular y en este caso era evidente que no lo era porque "quien se comunicaba era de sexo femenino". Si bien la persona es cotitular de la cuenta y tiene todos los datos de validación solicitados por VISA para realizar el reclamo, el mismo no puede hacerse ¡porque no llamaba un varón!. O sea, ¿la verificación es la voz de la persona que llama, amen de los datos que la misma tenga sobre la cuenta?

De aquí en adelante todo fueron una serie de hechos desafortunados. Comencemos con las fallas en los procesos:

1. El punto más grave y origen del problema es ¿cómo se dió de alta el débito automático a mi tarjeta de crédito saltando los procesos de verificación de VISA, suponiendo que el delincuente "sólo" tiene el nombre y apellido y los PAN/CCV2 de la tarjeta? Sobre este punto volveremos después.

2. Según pude constatar, el proceso de alta de un débito automático puede realizarse via web (este punto queda descartado porque debe hacerse estando logueado con mi cuenta/usuario/contraseña de VISA, cosa que no ha ocurrido); o por comunicación telefónica con VISA o EDESUR. Evidentemente en ninguno de los dos últimos casos, existe un proceso de verificación adecuada de la persona ya que sino el proceso de alta no podría haberse realizado.

3. El proceso de verificación realizado por el call center de VISA tiene en cuenta la voz y el sexo de quien llama a hacer un reclamo, lo cual inicialmente puede ser válido pero en este caso es secundario. Es decir que si llama María (con los datos de verificación correctos) para reclamar por Juan, el reclamo es ignorado pero si llama Pedro, el reclamo es válido, aunque los datos de verificación entregados sean incorrectos (sobre este punto volveremos después). ¿Qué sucede si el titular no puede llamar por un problema de salud por ejemplo? Suena ridículo, sí lo es.

4. Cómo quien debía comunicarse con el call center era el titular (de sexo masculino) y al encontrarme en otro país, intenté comunicarme con VISA de Ecuador pero amablemente me indicaron que el "servicio internacional de 24 hs sólo funcionaba de 8 a 20 hs". Siendo las 22 hs debía hacer una llamada internacional a Argentina, a costa mía porque tampoco logré comunicarme con el supuesto servicio de cobro revertido.

5. Al estar imposibilitado temporalmente para comunicarme telefónicamente, hice el reclamo a través de correo electrónico a la dirección de fraudes local y a través del formulario web de denuncias de estafas y fraudes. Además envié un twit a la cuenta @visa .
36 hs después el correo fue respondido de forma automática, con preguntas cuyas respuestas estaban originalmente en el correo enviado por mí y, como frutilla del postre, me solicitan los datos de facturación. Si recordamos que había pagado un servicio que no pertenece, ¿de dónde sacaría la factura? O sea, 36 hs para ni siquiera leer el correo y 36 hs de ventana de tiempo adicionales para el delincuente.

5. Sólo para despuntar el vicio, me comunique a través de Skype con VISA Argentina y luego de 15 minutos de espera, pude contar mi problema a la cansada y desinteresada persona que me atendió. Mis solicitudes fueron dos muy simples: quería dar de baja mi tarjeta porque estaba siendo utilizada por un tercero y quería saber cómo era posible que sucediera lo que sucedió. A la primera pregunta la respuesta fue positiva (a fin y al cabo quien llamaba era un varón y quizá era el titular) y a la segunda fue literalmente que lo "desconocía pero era común que sucediera". Suena ridículo, sí lo es.

Pero volvamos con el proceso de verificación para dar de baja mi tarjeta de crédito y ya que estamos también, el alta de un débito automático a nombre de un tercero. Para verificar mi identidad, el call center me solicitó mi dirección física (que puede ser fácilmente obtenible en Internet), pero al dársela "cometí un error" y le brindé una dirección incorrecta. Sin otra pregunta (ni siquiera el banco emisor que suele ser una de ellas) y sin percatarse del "error", me confirmaron que la tarjeta había sido bloqueada y recibiría una nueva en mi casa en 48 a 72 hs. Suena ridículo, sí lo es.

6. Siguiendo el proceso de "autenticación" anterior, si quien llamaba hubiera sido un tercero, podría haber dado de baja todas mis tarjetas de crédito, afectando seriamente la vida de una persona en el extranjero. 
Además, nunca llegó ninguna alerta vía correo electrónico informando que este trámite había sido realizado, por lo cual si hubiera sido un tercero quien realizara el trámite, nunca me habría enterado, hasta intentar usar la tarjeta. Suena ridículo, sí lo es.

Como resumen y sólo teniendo en cuenta los puntos más importantes de lo ocurrido:

• cualquiera con tu número de tarjeta puede hacerse pasar por tí ante el servicio de VISA, siempre y cuando sea del mismo sexo;
• el proceso de verificación de datos es obsoleto ya que cualquiera puede obtener los datos de una persona en Internet (o a través de su resumen de tarjeta, si bien este no fue el caso);
• amen de lo anterior, el proceso de verificación no es respetado por el call center, ya que incluso brindando información incorrecta es posible realizar reclamos;
• el servicio internacional de VISA en algunos países no funciona, por lo cual utilizar una tarjeta internacional de VISA es un riesgo para quien viaja.

Curiosamente no me siento robado por el delincuente sino estafado por el pésimo servicio que ofrece VISA. 

Conclusión: si vas a utilizar una tarjeta de crédito VISA, toma en cuenta que cualquiera que la vea alguna vez puede copiar algunos datos de la misma y utilizarlos, simplemente llamando por teléfono. Desde mi punto de vista los procesos internos de VISA son ineficientes y de esta forma colabora y es cómplice necesario de los delincuentes.

Leer más: Noticias de Seguridad Informática - Segu-Info http://blog.segu-info.com.ar/#ixzz2DeTWNgwo 
Under Creative Commons License: Attribution Non-Commercial Share Alike 
Mucho más de Seguridad Informática Segu-Info

NELSON CABEZA

Jerónimo Varela, COO de la oficina de ESET en Argentina

Revelan las tendencias en seguridad informática para 2013

ESET realizó su conferencia anual en Buenos Aires, donde destacó el aumento de las amenazas en seguridad de móviles, sindicando a Android como la plataforma más vulnerable

• 9

• Enviar por mail
• Imprimir
• Rectificar

EL MERCURIO / CHILE / GDA16 DE NOVIEMBRE 2012 - 04:04 PM

La empresa de seguridad informática realizó su conferencia anual en Buenos Aires, donde entregó sus resultados de 2012 e indicó cuáles son las tendencias en seguridad para 2013.

Tal como ocurrió el año pasado, la principal predicción de la compañía es el crecimiento de las amenazas para dispositivos móviles. La diferencia es que lo que a fines de 2011 aparecía como una posibilidad cierta pero alejada de la realidad local, en 2012 tuvo un crecimiento exponencial, con casos claros de impacto en Latinoamérica.

"Hace tres años habría sido impensado hablar de esto. El año pasado hablamos del surgimiento de la amenaza, su crecimiento. Y el esperado para 2013 es exponencial, muy por encima de lo que uno podría imaginar", indicó Sebastián Bortnik, gerente de educación y servicios de ESET para Latinoamérica.

Los datos son claros. Android es la plataforma móvil más popular del mundo, con más de 1.3 millones de activaciones de dispositivos nuevos (según indicó Andy Rubin, presidente de la división Android de Google). Tal como crece su uso, crecen las amenazas. Si hace 2 años había sólo un puñado de familias de virus con unas pocas variantes cada una, hoy hay 56 familias con miles de versiones distintas.

Los virus para móviles tienen tres tipos de objetivos: robar información, crear "botnets" (redes de equipos zombies, con control total del atacante) y contratar servicios de SMS premium. Es este último modelo el que llegó a Latinoamérica este año, con la detección de un malware de la familia Boxer.

El ataque es enmascarado como una aplicación, la que requiere la acción de un usuario (como poner "start" en un juego). Una vez realizada la acción, el teléfono envía un mensaje a un servicio de mensajes de texto, el que envía un SMS de confirmación que no es visto por el usuario, ya que el mismo malware lo bloquea. Así el programa logra que la persona pague automáticamente por un servicio que no recibe, sin que lo note.

El virus fue detectado en Latinoamérica hace algunos meses, con casos en Perú, México, Argentina, Chile y otros países de la región.

La duda es por qué se ataca a Android y no a otras plataformas. La respuesta es simple: Android es la plataforma más popular y también tiene criterios de revisión más bajos que sistemas como iOS y Windows Phone al momento de aprobar aplicaciones para entrar en la tienda Play de Google.

La web como medio

ESET también destacó un cambio interesante en la manera que se propagan los virus en computadores. Si hasta el año pasado, los dispositivos USB eran los más usados como método de propagación de virus, en 2012 la metodología más utilizada fue la web.

Hasta hoy los atacantes aprovecharon las posibilidades que entrega la ejecución automática de archivos desde un pendrive (situación especialmente crítica en Windows XP), pero ahora como la seguridad en ese ámbito mejoró, empezaron a explotar vulnerabilidades en los servidores de los sitios web, entrando a sus sistemas de archivos y plantando malware, y de navegadores y sistema operativos.

De hecho, en la lista de las 10 amenazas más comunes de este año, seis corresponden a vulnerabilidades web. De ellas dos corresponden a HTML y las otras cuatro a JavaScript.

Mildred martinez

Limitaciones de la criptografia:

El que un sistema tenga seguridad incondicional no quiere decir que su seguridad sea inviolable. Veamos dos consideraciones

§  ⁶ Los sistemas son incondicionalmente seguros desde un punto de vista probabilístico: El oponente siempre tiene una probabilidad mayor que cero de romper la seguridad. Sin embargo, esta probabilidad puede ser muy muy pequeña. Esto es lo que sucede con los sistemas incondicionalmente seguros.

⁷ En la mayoría de los estudios sobre la seguridad de un sistema se hace la suposición de que los atacantes tienen sólo un intento para atacar la seguridad del sistema. El éxito o el fracaso están determinados por el éxito o fracaso de ese intento. Esta suposición es válida, por ejemplo, en ciertos problemas de comunicación segura donde el enemigo no tiene oportunidad de verificar si el mensaje estimado es correcto o no. Sin embargo hay otros tipos de problemas donde esta suposición no tiene sentido. Por ejemplo, en un sistema de autenticación con usuario y contraseña para entrar en una cuenta restringida, el atacante puede realizar varios intentos. Además, en algunos casos, los intentos fallidos anteriores dan información para hacer una estimación mejor para los intentos siguientes.

§  ⁸ Cuando decimos que un sistema criptográfico es incondicionalmente seguro, nos estamos refiriendo a nivel teórico. Sin embargo cuando es implementado en la práctica puede no mantenerse esa seguridad. Hay muchos tipos de ataques que sólo se aplican cuando los sistemas están implementados en un sistema concreto. Ejemplos:

§  Explotación de canales ocultos. Los canales ocultos son canales de comunicación no intencionados y de difícil detección, que permiten la transferencia de información de forma que viola la política de seguridad del sistema. En un computador real los procesos al ejecutarse producen una serie de efectos y fenómenos que pueden ser medidos y explotados para revelar información relevante que puede ser utilizada para romper el sistema (Ej. pistas sobre la clave). Este problema es inherente y no puede ser evitado mediante técnicas criptográficas. Son ejemplos típicos de este tipo de canales los canales ocultos generados por análisis de temporizaciones, por análisis de consumos de energía o por análisis de consumos de radiaciones electromagnéticas o poranálisis de consumo de espacio de almacenamiento.

§  Malos diseños o implementaciones del software o el hardware pueden hacer que la solución práctica sea insegura. Ejemplos de ataques que se aprovechan de debilidades producidas por un mal diseño o implementación: desbordamiento de buffer, Inyección SQL, Cross Site Scripting, ataques basados en deficiencias del hardware.

Mildred  Martinez

 Historia de la criptografía.

El primer método de criptografía fue en el siglo V a.C, era conocido como "Escítala". El segundo criptosistema que se conoce fue documentado por el historiador griego Polibio: un sistema de sustitución basado en la posición de las letras en una tabla. También los romanos utilizaron sistemas de sustitución, siendo el método actualmente conocido como César, porque supuestamente Julio César lo empleó en sus campañas, uno de los más conocidos en la literatura (según algunos autores, en realidad Julio César no usaba este sistema de sustitución, pero la atribución tiene tanto arraigo que el nombre de este método de sustitución ha quedado para los anales de la historia). Otro de los métodos criptográficos utilizados por los griegos fue la escítala espartana, un método de trasposición basado en un cilindro que servía como clave en el que se enrollaba el mensaje para poder cifrar y descifrar.

En 1465 el italiano Leon Battista Alberti inventó un nuevo sistema de sustitución polialfabética que supuso un gran avance de la época. Otro de los criptógrafos más importantes del siglo XVI fue el francés Blaise de Vigenère que escribió un importante tratado sobre "la escritura secreta" y que diseñó una cifra que ha llegado a nuestros días asociada a su nombre. A Selenus se le debe la obra criptográfica "Cryptomenytices et Cryptographiae" (Luneburgo, 1624). En el siglo XVI María Estuardo, reina de Escocia, fue ejecutada por su prima Isabel I, reina de Inglaterra, al descubrirse un complot de aquella tras un criptoanálisis exitoso por parte de los matemáticos de Isabel. Durante los siglos XVII, XVIII y XIX, el interés de los monarcas por la criptografía fue notable. Las tropas de Felipe II emplearon durante mucho tiempo una cifra con un alfabeto de más de 500 símbolos que los matemáticos del rey consideraban inexpugnable. Cuando el matemático francés François Viète consiguió criptoanalizar aquel sistema para el rey de Francia, a la sazón Enrique IV, el conocimiento mostrado por el rey francés impulsó una queja de la corte española ante del papa Pío V acusando a Enrique IV de utilizar magia negra para vencer a sus ejércitos.

Durante la Primera Guerra Mundial, los Alemanes usaron el cifrado ADFGVX. Este método de cifrado es similar a la del tablero de ajedrez Polibio. Consistía en una matriz de 6 x 6 utilizado para sustituir cualquier letra del alfabeto y los números 0 a 9 con un par de letras que consiste de A, D, F, G, V, o X.

Magdaly Peña

Concepto de "delitos informáticos".

El delito informático implica actividades criminales que en un primer momento los países han tratado de encuadrar en figurar típicas de carácter tradicional, tales como robos o hurto, fraudes, falsificaciones, perjuicios, estafa, sabotaje, etcétera. Sin embargo, debe destacarse que el uso de lastécnicas informáticas ha creado nuevas posibilidades del uso indebido de las computadoras lo que ha propiciado a su vez la necesidad de regulación por parte del derecho.

Mildred Martinez

 Ley Especial sobre Delitos Informáticos en Venezuela.

Recientemente se publicó la Ley Especial sobre Delitos Informáticos ("la Ley"), cuyo objetivo es proteger los sistemas que utilicen tecnologías de información, así como prevenir y sancionar los delitos cometidos contra o mediante el uso de tales tecnologías (Gaceta Oficial N° 37.313 del 30 de octubre de 2001). Se trata de una ley especial que descodifica el Código Penal y profundiza aún más la incoherencia y falta de sistematicidad de la legislación penal, con el consecuente deterioro de la seguridad jurídica.

La Ley define los términos tecnología de la información, sistema, data, documento, computadora, hardware, firmware, software, programa, procesamiento de datos o de información, seguridad, virus, tarjeta inteligente, contraseña y mensaje de datos.

La ley presenta varias deficiencias y problemas, entre los que podemos mencionar los siguientes:

(i) Utiliza términos en el idioma inglés, cuando la Constitución sólo autoriza el uso del castellano o lenguas indígenas en documentos oficiales;

(ii) No tipifica delito alguno relativo a la seguridad e integridad de la firma electrónica y a su registro;

(iii) La terminología utilizada es diferente a la de la Ley de Mensaje de Datos y Firmas Electrónicas, tal como se observa en la definición que hace del mensaje de datos con lo que se propicia un desorden conceptual de la legislación en materia electrónica;

(iv) Repite delitos ya existentes en el Código Penal y en otras leyes penales, a los cuales les agrega el medio empleado y la naturaleza intangible del bien afectado.

MILDRED MARTINEZ

Tipos de delitos informáticos

  Tipos de delitos informáticos reconocidos por Naciones Unidas.

Fraudes cometidos mediante manipulación de computadoras.

Manipulación de los datos de entrada.

Este tipo de fraude informático conocido también como sustracción de datos, representa el delito informático más común ya que es fácil de cometer y difícil de descubrir. Este delito no requiere de conocimientos técnicos de informática y puede realizarlo cualquier persona que tenga acceso a las funciones normales de procesamiento de datos en la fase de adquisición de los mismos.

La manipulación de programas.

Es muy difícil de descubrir y a menudo pasa inadvertida debido a que el delincuente debe tener conocimientos técnicos concretos de informática. Este delito consiste en modificar los programas existentes en el sistema de computadoras o en insertar nuevos programas o nuevas rutinas. Un método común utilizado por las personas que tiene conocimientos especializados en programación informática es el denominado Caballo de Troya, que consiste en insertar instrucciones de computadora de forma encubierta en un programa informático para que pueda realizar una función no autorizada al mismo tiempo que su función normal.

Manipulación de los datos de salida.

Se efectúa fijando un objetivo al funcionamiento del sistema informático. El ejemplo más común es el fraude de que se hace objeto a los cajeros automáticos mediante la falsificación de instrucciones para la computadora en la fase de adquisición de datos. Tradicionalmente esos fraudes se hacían a base de tarjetas bancarias robadas, sin embargo, en la actualidad se usan ampliamente el equipo y programas de computadora especializados para codificar información electrónica falsificada en las bandas magnéticas de las tarjetas bancarias y de las tarjetas de crédito.

Fraude efectuado por manipulación informática que aprovecha las repeticiones automáticas de los procesos de cómputo. Es una técnica especializada que se denomina "técnica de salchichón" en la que "rodajas muy finas" apenas perceptibles, de transacciones financieras, se van sacando repetidamente de una cuenta y se transfieren a otra.

Falsificaciones informáticas.

Como objeto. Cuando se alteran datos de los documentos almacenados en forma computarizada.

Como instrumentos. Las computadoras pueden utilizarse también para efectuar falsificaciones de documentos de uso comercial. Cuando empezó a disponerse de fotocopiadoras computarizadas en color a base de rayos láser, surgió una nueva generación de falsificaciones o alteraciones fraudulentas. Estas fotocopiadoras pueden hacer copias de alta resolución, pueden modificar documentos e incluso pueden crear documentos falsos sin tener que recurrir a un original, y los documentos que producen son de tal calidad que sólo un experto puede diferenciarlos de los documentos auténticos.

Daños o modificaciones de programas o datos computarizados.

Sabotaje informático. Es el acto de borrar, suprimir o modificar sin autorización funciones o datos de computadora con intención de obstaculizar el funcionamiento normal del sistema. las técnicas que permiten cometer sabotajes informáticos son:

Virus. Es una serie de claves programáticas que pueden adherirse a los programas legítimos y propagarse a otros programas informáticos. Un virus puede ingresar en un sistema por conducto de una pieza legítima de soporte lógico que ha quedado infectada, así como utilizando el método del Caballo de Troya.

Gusanos. Se fabrica en forma análoga al virus con miras a infiltrarlo en programas legítimos de procesamiento de datos o para modificar o destruir los datos, pero es diferente del virus porque no puede regenerarse. En términos médicos podría decirse que un gusano es un tumor benigno, mientras que el virus es un tumor maligno. Ahora bien, las consecuencias del ataque de un gusano pueden ser tan graves como las del ataque de un virus; por ejemplo, un programa gusano que subsiguientemente se destruirá puede dar instrucciones a un sistema informático de unbanco para que transfiera continuamente dinero a una cuenta ilícita.

Anuncios maliciosos dirigen a falsas actualizaciones del navegador

net-security.org 28-Nov-2012

Cada cierto tiempo, los traficantes de malware utilizan frases como "Tu navegador está desactualizado, descarga la actualización aquí" para embaucar a usuarios inexpertos con su mercancía maliciosa.

La organización StopMalwertising advierte de otra variante de esta particular táctica, que inicia con anuncios maliciosos que dirigen a páginas capaces de detectar el tipo de navegador que utiliza el usuario y enviarle una notificación falsa que le solicita actualizar su navegador:

La página destino estuvo inicialmente ubicada en securebrowserupdate.com, pero ya fue eliminada. Sin embargo, es muy posible que haya más páginas como esa por ahí.

"En securebrowserupdate.com hay una actualización para cada navegador. Si el scriptno puede identificar el navegador que se está ejecutando, los Service Packs para Mozilla 5.1, GoogleBot 2.1 o unknown unknown.1 son ofrecidos para descarga", dijeron.

Estás páginas tienen la misma apariencia que los sitios legítimos de los navegadores que tratan de suplantar, por lo que es entendible que algunos usuarios caigan en la trampa. De acuerdo a Trend Micro, usuarios de Francia, EU y España han sido los principales afectados.

"En lugar de una actualización, los usuarios descargan malware detectado como JS_DLOADR.AET, que es capaz de cambiar el binario descargado de tal modo que tenga una carga útil diferente", compartieron los investigadores de Trend Micro.

"El JavaScript malicioso, a su vez, descarga TROJ_STARTPA.AET y lo guarda como {Ruta de descarga del navegador}\install.exe. Basados en nuestro análisis inicial, el Troyano modifica la página de inicio de Internet Explorer del usuario a http://{BLOCKED}rtpage.com, un sitio que puede alojar otros archivos maliciosos que pueden infectar posteriormente al sistema del usuario".

StopMalwertising detectó otro JavaScript en el sitio, el cual aparentemente despliega ventanas y notificaciones como las siguientes:

• Enviar a tu número un sms con un código secreto. Ingresa tu activación con código de confirmación.
• Un error ocurrió mientras se procesaba la solicitud del servidor.
• Software activado exitosamente.

Obviamente, los usuarios están en un peligro adicional de enviar un SMS a un servicio de tarifas premium para activar las actualizaciones falsas.

Mientras que evitar este tipo de engaños es en conjunto imposible, es realmente muy fácil no volverse víctimas de ellos: simplemente hay que asegurarse de descargar las actualizaciones del navegador sólo de los sitios oficiales (tecleando uno mismo la URL correcta) o configurando el navegador para que se actualice automáticamente.

Fuente: net-security.org JS

EU e Israel crearon virus informático Flame contra Irán: Washington Post

• La empresa de seguridad rusa Kaspersky fue la primera en descubrir el software

El diario, que cita a autoridades occidentales con conocimiento del caso, dijo que el software malicioso estaba destinado a espiar la red informática iraní, copiar archivos y recabar información de inteligencia para usarla en su campaña de guerra cibernética

WASHINGTON, ESTADOS UNIDOS (19/JUN/2012).- Estados Unidos e Israel colaboraron para  crear el virus informático Flame como parte de una estrategia para robar  información sobre el programa nuclear iraní, informó el Washington Post este  martes. 

El diario, que cita a "autoridades occidentales con conocimiento del caso", dijo que el software malicioso estaba destinado a espiar la red informática  iraní, copiar archivos y recabar información de inteligencia para usarla en su campaña de guerra cibernética. 

El Washington Post dijo que la Agencia de Seguridad Nacional estadounidense  y la agencia de inteligencia CIA trabajan con autoridades militares israelíes sobre el proyecto. 

Varios reportes vincularon a Israel y Estados Unidos con Flame y otro virus llamado Stuxnet, que causó en 2010 el mal funcionamiento de centrifugadoras,  parte del equipamiento de enriquecimiento nuclear iraní. 

Autoridades estadounidenses no hablaron públicamente del asunto excepto para declarar que enfocan sus esfuerzos en internet como parte de una  estrategia de defensa e inteligencia. 

"Se trata de preparar el campo de batalla para otro tipo de acción  encubierta", dijo una autoridad de inteligencia estadounidense al diario. 

La empresa de seguridad rusa Kaspersky, la primera en descubrir Flame, que  existe desde hace cuatro años, dijo la semana pasada que el software malicioso estaba vinculado con Stuxnet, y que ambos programas comparten porciones de  códigos. 

El New York Times había informado el 1 de junio que el presidente estadounidense Barack Obama aceleró los ciberataques contra el programa nuclear  iraní y que acentuó la ofensiva incluso luego de que el virus Stuxnet escapara  accidentalmente en 2010. 

El ciberataque destinado a impedir que Irán desarrolle armas nucleares y que Israel lance un ataque militar preventivo, desató confusión en la planta nuclear de Natanz, agregó el Times

"Nayarith Hernandez" Criptografía (del griego κρύπτω krypto, «oculto», y γράφως graphos, «escribir», literalmente «escritura oculta») tradicionalmente se ha definido como la parte de la cristología que se ocupa de las técnicas, bien sea aplicadas al arte o la ciencia, que alteran las representaciones lingüísticas de mensajes, mediante técnicas de cifrado y/o codificado, para hacerlos ininteligibles a intrusos (lectores no autorizados) que intercepten esos mensajes. Por tanto el único objetivo de la criptografía era conseguir la confidencialidad de los mensajes. Para ello se diseñaban sistemas de cifrado y códigos. En esos tiempos la única criptografía que había era la llamada criptografía clásica.

La aparición de las Tecnologías de la Información y la Comunicación y el uso masivo de las comunicaciones digitales han producido un número creciente de problemas de seguridad. Las transacciones que se realizan a través de la red pueden ser interceptadas. La seguridad de esta información debe garantizarse. Este desafío ha generalizado los objetivos de la criptografía para ser la parte de la criptología que se encarga del estudio de los algoritmos, protocolos (se les llama protocolos criptográficos) y sistemas que se utilizan para proteger la información y dotar de seguridad a las comunicaciones y a las entidades que se comunican. Para ello los criptógrafos investigan, desarrollan y aprovechan técnicas matemáticas que les sirven como herramientas para conseguir sus objetivos

 La criptografía actualmente se encarga del estudio de los algoritmos, protocolos y sistemas que se utilizan para dotar de seguridad a las comunicaciones, a la información y a las entidades que se comunican.¹ El objetivo de la criptografía es diseñar, implementar, implantar, y hacer uso de sistemas criptográficos para dotar de alguna forma de seguridad. Por tanto el tipo de propiedades de las que se ocupa la criptografía son por ejemplo:

• Confidencialidad. Es decir garantiza que la información está accesible únicamente a personal autorizado. Para conseguirlo utiliza códigos y técnicas de cifrado.
• Integridad. Es decir garantiza la corrección y completitud de la información. Para conseguirlo puede usar por ejemplo funciones hash criptográficas MDC, protocolos de compromiso de bit, o protocolos de notarización electrónica.
• No repudio. Es decir proporcionar protección frente a que alguna de las entidades implicadas en la comunicación, pueda negar haber participado en toda o parte de la comunicación. Para conseguirlo se puede usar por ejemplo firma digital. En algunos contextos lo que se intenta es justo lo contrario: Poder negar que se ha intervenido en la comunicación. Por ejemplo cuando se usa un servicio de mensajería instantánea y no queremos que se pueda demostrar esa comunicación. Para ello se usan técnicas como el cifrado negable.
• Autenticación. Es decir proporciona mecanismos que permiten verificar la identidad del comunicante. Para conseguirlo puede usar por ejemplo función hash criptográfica MAC o protocolo de conocimiento cero.
• Soluciones a problemas de la falta de simultaneidad en la telefirma digital de contratos. Para conseguirlo puede usar por ejemplo protocolos de transferencia inconsciente.

Un sistema criptográfico es seguro respecto a una tarea si un adversario con capacidades especiales no puede romper esa seguridad, es decir, el atacante no puede realizar esa tarea específica.

Delitos Informaticos, Ventajas y Desventajas de la Ley de los Delitos Informaticos.

DELITOS INFORMÁTICOS

El delito informático, o crimen electrónico, o bien ilícito digital es el término genérico para aquellas operaciones ilícitas realizadas por medio de Internet o que tienen como objetivo destruir y dañar ordenadores, medios electrónicos y redes de Internet. Sin embargo, las categorías que definen un delito informático son aún mayores y complejas y pueden incluir delitos tradicionales como el fraude, el robo, chantaje falsificación y la malversación de caudales públicos en los cuales ordenadores y redes han sido utilizados. Con el desarrollo de la programación y de Internet, los delitos informáticos se han vuelto más frecuentes y sofisticados.

Existen actividades delictivas que se realizan por medio de estructuras electrónicas que van ligadas a un sin número de herramientas delictivas que buscan infringir y dañar todo lo que encuentren en el ámbito informático: ingreso ilegal a sistemas, interceptado ilegal de redes, interferencias, daños en la información (borrado, dañado, alteración o supresión de datacredito), mal uso de artefactos, chantajes, fraude electrónico, ataques a sistemas, robo de bancos, ataques realizados por hackers, violación de los derechos de autor, pornografía infantil, pedofilia en Internet, violación de información confidencial y muchos otros.

Actualmente existen leyes que tienen por objeto la protección integral de los sistemas que utilicen tecnologías de información, así como la prevención y sanción de los delitos cometidos en las variedades existentes contra tales sistemas o cualquiera de sus componentes o los cometidos mediante el uso de dichas tecnologías.

VENTAJAS Y DESVENTAJAS DE LA LEY ESPECIAL DE DELITOS INFORMÁTICOS

Esta ley fue promulgada por la Asamblea Nacional el 4 de Septiembre de 2001 y publicada en Gaceta Oficial el 30 de Octubre de 2001. Y pretende ofrecer una legislación sobre los delitos contra las tecnologías de información o haciendo uso de estás. Esta ley consta de 32 artículos y esta dividida en 4 títulos: un primer titulo donde se definen algunos términos básicos relacionados a las Tecnologías de la Información (T.I), en el segundo se especifican los delitos que se penan en la ley y su respectiva condena; en el tercer titulo las disposiciones generales y en el cuarto las disposiciones finales.

Entre Ventajas que ofrece esta Ley Especial:

·         Por primera vez se tiene una legislación que regule los delitos informáticos.

·         Se define un glosario de términos relacionados con las T.I, lo que ayuda a evitar confusiones.

·         Se condenan fuertemente delitos como el robo de la información personal, la pornografía infantil y la apropiación de la propiedad intelectual.

Entre las desventajas que ofrece tenemos:

·         No especifica los mecanismos e instituciones encargadas de actuar en caso de que se cometa un delito.

·         La ley es solo de carácter punitivo, no se hace referencia a otros aspectos aspectos de la seguridad de las T.I como los certificados digitales.

·         No ofrece regulaciones acerca del correcto uso de la Internet.

·         Existen delitos que están fuera de la legislación como el envió de correo electrónico no deseado.