La seguridad de la información es el conjunto de medidas, técnicas y procedimientos orientados a proteger la información frente a amenazas que puedan comprometer su confidencialidad, integridad o disponibilidad.
Un activo es cualquier elemento que tiene valor para una organización y que, por tanto, necesita ser protegido. Los activos pueden ser:
Una amenaza es cualquier evento o acción, intencionada o accidental, que puede causar daño a un activo.
| Tipo | Ejemplos |
|---|---|
| Naturales | Inundaciones, terremotos, incendios |
| Humanas accidentales | Errores de configuración, borrado involuntario |
| Humanas intencionadas | Hackers, empleados descontentos, espionaje |
| Técnicas | Fallos de hardware, cortes de suministro eléctrico |
Una vulnerabilidad es una debilidad o fallo en un sistema que puede ser explotado por una amenaza.
El riesgo es la probabilidad de que una amenaza explote una vulnerabilidad y cause un impacto negativo en un activo.
Riesgo = Probabilidad de la amenaza × Impacto del daño
La gestión del riesgo implica:
Las medidas de seguridad (también llamadas controles o salvaguardas) son acciones aplicadas para reducir el riesgo.
Los pilares fundamentales de la seguridad de la información conforman lo que se conoce como la tríada CIA y otros principios complementarios.
Garantiza que la información solo es accesible por las personas o sistemas autorizados.
Asegura que la información no ha sido alterada de forma no autorizada, ya sea durante su almacenamiento o transmisión.
Asegura que los sistemas y datos están accesibles cuando se necesitan.
Permite verificar la identidad de un usuario, sistema o entidad antes de concederle acceso.
Una vez autenticado, la autorización determina qué acciones o recursos puede usar un usuario.
Permite registrar y auditar quién hizo qué, cuándo y desde dónde.
Garantiza que una parte no puede negar haber realizado una acción o enviado un mensaje.
La criptografía es la ciencia que estudia las técnicas de transformación de información para protegerla de accesos no autorizados.
Utiliza la misma clave para cifrar y descifrar la información.
Texto plano → [Cifrado con clave K] → Texto cifrado
Texto cifrado → [Descifrado con clave K] → Texto plano
Utiliza un par de claves matemáticamente relacionadas:
Texto plano → [Cifrado con clave PÚBLICA del destinatario] → Texto cifrado
Texto cifrado → [Descifrado con clave PRIVADA del destinatario] → Texto plano
La característica fundamental y definitoria de este sistema es que cualquier persona puede cifrar un mensaje usando la clave pública del destinatario, pero solo el destinatario —quien posee la clave privada correspondiente— puede descifrarlo. Esto lo diferencia radicalmente del cifrado simétrico.
⚠️ En la práctica, los sistemas reales combinan ambos tipos: se usa cifrado asimétrico para intercambiar de forma segura una clave de sesión, y luego cifrado simétrico (más rápido) para cifrar el grueso de los datos. Esto es exactamente lo que hace TLS/HTTPS.
| Característica | Simétrico | Asimétrico (Clave Pública) |
|---|---|---|
| Número de claves | 1 (misma para cifrar y descifrar) | 2 (pública y privada) |
| ¿Quién puede cifrar? | Solo quien tiene la clave | Cualquiera (con la clave pública) |
| ¿Quién puede descifrar? | Solo quien tiene la clave | Solo el dueño de la clave privada |
| Intercambio de claves | Requiere canal seguro previo | No requiere canal seguro previo |
| Velocidad | Muy rápido | Lento |
| Uso típico | Cifrado masivo de datos (archivos, disco, canal) | Acuerdo de claves, firma digital, autenticación |
| Algoritmos | AES, ChaCha20, DES | RSA, ECC, ElGamal |
| Escala | Problema al aumentar el nº de participantes | Escala bien |
Una función hash transforma un dato de cualquier tamaño en una cadena de longitud fija (llamada digest o resumen).
| Entrada | SHA-256 |
|---|---|
"Hola" |
0a4d55a8d778e5022fab701977c5d840bbc486d0c1da... |
"hola" |
b94d27b9934d3e08a52e52d7da7dabfac484efe04294... |
Combina el cifrado asimétrico con funciones hash para garantizar autenticidad e integridad.
Proceso de firma:
1. Se calcula el hash del mensaje.
2. Se cifra ese hash con la clave privada del remitente → esto es la firma.
3. Se envía el mensaje junto con la firma.
Proceso de verificación:
1. Se descifra la firma con la clave pública del remitente → se obtiene el hash original.
2. Se calcula el hash del mensaje recibido.
3. Si ambos hashes coinciden → el mensaje es auténtico e íntegro.
La PKI (Public Key Infrastructure) es el conjunto de hardware, software, políticas y procedimientos necesarios para gestionar certificados digitales y claves públicas.
Componentes principales:
- Autoridad de Certificación (CA): emite y firma certificados digitales.
- Autoridad de Registro (RA): verifica la identidad antes de solicitar un certificado a la CA.
- Repositorio de certificados: almacena los certificados emitidos.
- Lista de Revocación (CRL / OCSP): informa de los certificados que han sido revocados.
Un certificado digital es un documento electrónico firmado por una CA que asocia una clave pública con la identidad de su propietario.
Una CA es una entidad de confianza encargada de emitir, firmar y revocar certificados digitales.
El estándar X.509 define el formato de los certificados digitales más utilizados en Internet.
Un certificado X.509 contiene:
| Campo | Descripción |
|---|---|
| Versión | Versión del estándar (v3 es la actual) |
| Número de serie | Identificador único del certificado |
| Algoritmo de firma | Algoritmo usado por la CA para firmar |
| Emisor | Nombre de la CA que lo emitió |
| Validez | Fecha de inicio y expiración |
| Sujeto | Entidad a la que pertenece el certificado |
| Clave pública | La clave pública del sujeto |
| Firma de la CA | Firma digital de la CA sobre todo lo anterior |
La cadena de confianza (chain of trust) es la jerarquía de certificados que permite verificar la autenticidad de un certificado.
CA Raíz (confianza preinstalada)
└── CA Intermedia (firmada por la CA Raíz)
└── Certificado del servidor (firmado por la CA Intermedia)
Para que un certificado sea considerado válido:
1. Debe estar firmado por una CA de confianza.
2. No debe haber expirado.
3. No debe estar en la lista de revocados (CRL/OCSP).
SSL fue el primer protocolo ampliamente adoptado para cifrar comunicaciones en Internet, desarrollado por Netscape en los años 90.
TLS es el sucesor de SSL, mucho más seguro y ampliamente utilizado hoy en día.
Proceso de handshake TLS simplificado:
1. El cliente envía los algoritmos que soporta (ClientHello).
2. El servidor elige el algoritmo y envía su certificado (ServerHello).
3. Se verifica el certificado del servidor.
4. Se genera un secreto compartido (intercambio de claves).
5. Se establece el canal cifrado.
HTTPS (HyperText Transfer Protocol Secure) es simplemente HTTP sobre TLS.
SSH es un protocolo para acceder y administrar sistemas remotos de forma segura.
IPsec es un conjunto de protocolos que opera a nivel de capa de red (IP) para cifrar y autenticar todo el tráfico IP.
La autenticación mutua (mutual authentication o mTLS) implica que ambas partes de una comunicación verifican la identidad de la otra.
El intercambio de claves es el proceso mediante el cual dos partes acuerdan un secreto compartido para usarlo como clave de cifrado, sin transmitirlo directamente.
El cifrado de canal protege todos los datos que viajan entre dos puntos, independientemente del contenido.
La integridad de mensajes garantiza que los datos no han sido alterados durante la transmisión.
┌─────────────────────────────────────────────────────────────────┐
│ SEGURIDAD DE LA INFORMACIÓN │
├───────────────────┬───────────────────┬─────────────────────────┤
│ CONFIDENCIALIDAD │ INTEGRIDAD │ DISPONIBILIDAD │
│ (nadie no autori-│ (datos íntegros │ (acceso cuando se │
│ zado puede leer)│ y no alterados) │ necesite) │
├───────────────────┴───────────────────┴─────────────────────────┤
│ AUTENTICACIÓN · AUTORIZACIÓN · TRAZABILIDAD │
│ NO REPUDIO │
├─────────────────────────────────────────────────────────────────┤
│ CRIPTOGRAFÍA │
│ Simétrica (AES) · Asimétrica (RSA) · Hash (SHA) · Firma │
├─────────────────────────────────────────────────────────────────┤
│ PROTOCOLOS SEGUROS │
│ TLS · HTTPS · SSH · IPsec │
└─────────────────────────────────────────────────────────────────┘
Documento elaborado para el estudio de Seguridad de la Información. Todos los conceptos están actualizados conforme a los estándares vigentes.