Capítulo 9. Buena contraseña. Cómo proteger su página en red social ¿De robo? 9.1. Elegir una buena contraseña, muchos usuarios usan contraseñas como 1, 1234, QWERTY, y luego sorprendidas por las cuales su buzón O una página en la red social de hacker. La respuesta es simple - para ella

Proteja esta característica para aquellos que no quieren ser modificados en su texto. Si hace clic en el botón Proteger Document y selecciona un comando para limitar el formato y la edición, aparecerá un panel adicional (Fig. 1.115). ¿Cómo se puede ver en la imagen que puede

Cómo proteger la computadora portátil de la computadora portátil: el producto es lo suficientemente fuerte. Sin embargo, hay muchas situaciones en el mundo exterior que pueden destruir una computadora portátil. Puede parecer extraño, pero la mayoría de las computadoras portátiles mueren con circunstancias muy triviales. Nic

- (gabinete anti-vandal) (gabinete protector) Gabinete de telecomunicaciones, para colocación y protección de equipos de telecomunicaciones (servidores, enrutadores, conmutadores, módems, estaciones telefónicasElementos de la cruz óptica ... ... Wikipedia

Llave electrónica - Este término tiene otros valores, consulte la clave electrónica (valores). Tecla electrónica (también clave de hardware, a veces Dongl de inglés. Dongle) hardwareDiseñado para proteger el software (software) y los datos de ... ... Wikipedia

Pgp - bastante buena privacidad de Philip Tsimmermann Developer Philip Tsimmermann escrito en la operación de varios idiomas sistema Linux, Mac OS X, Windows Primer número de 1991 Sitio web ... Wikipedia

Cifre Vernámica - (Otro Título: English One Time Pad Esquema de cuadernos desechables) En el sistema de cifrado simétrico de criptografía, inventó en 1917 en T Mayor Joseph Moborn y Hilbert. Cipher Vernámica ... ... Wikipedia

Dongle - Tecla electrónica (también clave de hardware, a veces Dong de inglés. Dongle) Herramienta de hardware para proteger el software (software) y los datos de la copia, el uso ilegal y la distribución no autorizada. ... ... Wikipedia

Algoritmo difpe - Algoritmo Diffi Helmana (Diffie Hellman, DH) del algoritmo, permitiendo que dos lados obtengan una clave secreta común que use sin protección contra escuchar, pero protegida del canal de cambio. Esta llave se puede utilizar ... Wikipedia

Cifrado no liberado - (Código VERNAME): en la criptografía, una clase completa de sistemas con resistencia criptográfica absoluta, ampliamente conocida como "libretas / liners desechables". Contenido 1 Creación de historia 2 Descripción ... Wikipedia

Algoritmo diffy - Helana - (Inglés. Diffie Hellman, DH) Algoritmo que permite que dos lados obtengan una clave secreta común que use sin protección al escuchar, pero protegida de la sustitución, el canal de comunicación. Esta tecla se puede utilizar para cifrar un intercambio adicional con ... ... Wikipedia

WPA. - y WPA2 (acceso protegido con WI FI) es un programa de certificación de dispositivo actualizado comunicación inalámbrica. La tecnología WPA ha llegado a reemplazar la tecnología de protección. redes inalámbricas WEP Las ventajas de WPA se fortalecen la seguridad de los datos ... Wikipedia

Cuaderno desechable

Showoblot - Cifrado de Vernámica (Otro Título: SPN. Esquemas de cuaderno desechables de una tecla de un tiempo) en el sistema de cifrado simétrico de criptografía, inventó en 1917 en T Mayor Joseph Moborn y Hilbert. Cipher vername es ... ... wikipedia

La popularidad de las soluciones con sede en PKI continúa creciendo: cada vez más sitios van a HTTPS, las empresas están implementando certificados digitales para la autenticación de usuarios y computadoras, S / MIME demuestra su longitud de longitud y cifrado. correo electrónico, y como una forma de revisar la fuente de mensajes para contrarrestar el phishing. Pero el cifrado y la autenticación en estas aplicaciones son prácticamente sin sentido sin las claves adecuadas.

Cada vez que se emite un certificado digital de la Autoridad de Certificación (CA) o un certificado autofirmado, debe generar un par de teclas cerradas y abiertas. Según las mejores prácticas, sus claves secretas deben estar protegidas y ser, bueno ... ¡secreto! Si alguien los recibe, puede, dependiendo del tipo de certificado, cree sitios de phishing con el certificado de su organización en direcciónAutenticar B. redes corporativas, emitiéndose para usted, firme aplicaciones o documentos de su cara o lea sus correos electrónicos cifrados.

En muchos casos, las claves secretas son certificados personales de sus empleados (y, en consecuencia, parte de los datos personales de la organización), por lo que su protección es igual a la protección de las huellas dactilares cuando se utiliza credenciales biométricas. ¿No dejarás que el Hakwar obtenga una huella dactilar? Lo mismo con llaves secretas.

En este artículo, discutiremos opciones para proteger y almacenar claves cerradas. Como se ve, estas opciones pueden diferir ligeramente dependiendo del tipo de certificado (s) y sobre cómo lo usa (por ejemplo, las recomendaciones para los certificados SSL / TLS son diferentes de las recomendaciones para los certificados de usuario final).

Certificado / Tiendas de llaves y navegadores.

En algunos sistemas operativos Y los navegadores tienen bóvedas o llaves de certificados. Estas son bases de datos de software que localmente en su computadora almacenan un par de teclas cerradas y abiertas como parte del certificado. Dicho almacenamiento clave es bastante popular: muchas aplicaciones sean automáticamente atendidas aquí, y no necesita especificar manualmente el archivo de certificado cada vez, por lo que esta es una opción bastante conveniente.

Otra ventaja de esta opción es bastante fácil de personalizar. Puede habilitar / deshabilitar la exportación llave cerradaencender para él protección confiable (Entrada de contraseña cada vez que usa un certificado), y puede crear copias de seguridad si se exporta la clave cerrada. Además, cuando se enciende perfiles de roaming en Windows, el certificado se adjunta al perfil y está disponible en la entrada a otra computadora con este perfil.

Si decides elegir esta opción, debe considerar varios aspectos. Primero, incluso si marca la clave CERRADA como un impacto, algunas utilidades pueden omitir esta protección (es decir, la imposibilidad de las exportaciones no está garantizada). Además, si alguien trabajaba bajo tu contabilidad, Y usted no incluyó una protección de clave cerrada fuerte (contraseña al usar un certificado), pueden usar su certificado. Finalmente, si su clave privada está marcada como exportada, entonces alguien para su computadora podrá exportarlo. Incluso si tiene una protección de clave secreta, la contraseña no solicita al exportar.

Y último: Chrome e IE usan almacenamiento de certificados de Windows, mientras que Firefox tiene su propia tienda de certificados (de Mozilla). Esto significa que si importa un certificado en el almacenamiento de Windows, entonces Chrome e IE lo encontrará automáticamente, y no hay Firefox.

Aplicaciones Típicas:

• Aplicaciones para la firma digital (por ejemplo, Adobe Acrobat., Microsoft Outlook y Office accederán al almacenamiento de certificados de Windows [personalizado]).
• Microsoft IIS Server también busca certificados SSL en el almacenamiento de certificados de Windows [General para la computadora].
• Autenticación del cliente (usuario o computadora), dependiendo de la configuración, la mayoría de las veces se refiere al almacenamiento del certificado de Windows.
• Código de firma en Windows (aplicaciones y controladores).

Archivos.pfx i.jks (repositorios de claves)

Si decide guardar el archivo en el servidor remoto, debe encargarse especialmente de restringir el acceso a él. Si alguien recibe acceso, puede usar su certificado. De manera similar, debe tener especial cuidado con la fácil copia y la distribución de estos archivos. Aunque es una gran conveniencia para usted, pero al mismo tiempo, un atacante simplemente hará una copia si obtiene acceso a su repositorio de llaves. La contraseña de clave cerrada todavía se necesita para usar eficientemente el archivo copiado. Esta es otra razón para usar. contraseñas confiables de 15 y más personajes que contienen letras mayúsculas, números y símbolos especiales. Con esta opción de almacenamiento, debe considerar otra cosa: el usuario final se superpone a más responsabilidad desde el punto de vista donde se encuentra el archivo y si se almacena correctamente.

Si no puede usar equipo criptográfico o almacenamiento. teclas de Windows (Descrito anteriormente), pero aún así desea mejorar la seguridad (en lugar de simplemente colocar el archivo de almacenamiento de llaves en una computadora), puede grabar este archivo en una unidad flash, que se encuentre en un lugar seguro. Por supuesto, se pierde algo de conveniencia aquí, por lo que si a menudo usa la firma, preferirá que desee almacenar el archivo localmente para facilitar el acceso.

Aplicaciones Típicas:

• Firmando un código Windows o Java.
• FDA ESG y IDES IDES USE.PFX para una comunicación segura con los servicios civiles americanos.
• Algunos servidores web (por ejemplo, Apache Tomcat o JBoss).

Tokens criptográficos y tarjetas inteligentes.

Como se mencionó casualmente anteriormente, puede mejorar la seguridad si almacena una clave secreta en hardware separado. Pero hay una gran diferencia Entre el uso de tokens criptográficos o tarjetas inteligentes y unidades de flash estándar. Con equipos criptográficos, la clave se genera en el propio equipo y no se exporta. La llave cerrada nunca abandona el dispositivo, lo que dificulta mucho extraer acceso y comprometer.

Nota: Si desea proteger aún más la clave privada, que ya se ha generado anteriormente (es decir, no en el token), puede importar.pfx archivo en el token y luego eliminar el original.pfx.

Con un token, cada vez que use un certificado para ingresar una contraseña. Esto significa que incluso si alguien obtiene su token, todavía necesitará una contraseña. El almacenamiento clave en el token significa que puede usar con seguridad el mismo certificado en varias computadoras sin la necesidad de crear múltiples copias y aprobar el proceso de exportación / importación. El equipo criptográfico cumple con FIPS, que se requiere para algunas regulaciones sectoriales y gubernamentales.

Por supuesto, hay algunas otras consideraciones que deben tenerse en cuenta si decide elegir esta opción. Además de las dificultades adicionales de la gestión de token, esta opción puede no funcionar con los ensamblajes automáticos debido al requisito de ingresar una contraseña cada vez que use el certificado. Tampoco hay forma de crear un certificado de respaldo, ya que la clave cerrada no se exporta (falta de seguridad adicional). Finalmente, en algunos escenarios, esta opción de almacenamiento es simplemente imposible. Por ejemplo, si los dispositivos especializados no admiten tokens o tarjetas inteligentes. O en situaciones en las que los empleados no tienen acceso físico a la computadora y trabajan con terminales remotos.

Aplicaciones Típicas:

El cumplimiento de los requisitos reglamentarios es una de las principales causas del uso de tokens criptográficos.

• Es necesario para firmar el código de verificación extendido (EV) de acuerdo con las recomendaciones del Foro CA / Browser.
• Recomendado para la firma de código estándar de acuerdo con los requisitos mínimos del Consejo de Seguridad de CA. Se requiere que los centros de certificación recomiendan equipos criptográficos como la opción principal para emitir certificados. Si el equipo criptográfico no se emite, el cliente debe firmar un acuerdo, que almacenará una clave privada en algún equipo extraíble (que se elimina después de la firma).
• Requerido para la firma digital y recibir estado de confianza en programas de Adobe, de acuerdo con los requisitos de la lista de fideicomisos aprobados de Adobe (AATL).
• Las reglas sectoriales, como CFR 21 Parte 11, de la FDA y los requisitos de firma digital en los países individuales, a menudo hablan sobre la clave secreta, que está en la única propiedad del propietario. El almacenamiento en equipo criptográfico cumple con estos requisitos.

Módulos criptográficos de hardware (HSM)

HSM es otra solución de almacenamiento de hardware, especialmente si no desea confiar en tokens separados o parece demasiado oneroso. Mientras que las fichas están más orientadas en la entrada manual o las aplicaciones individuales (por ejemplo, firma una pequeña cantidad de documentos o código, autenticación en VPN u otras redes), entonces HSM proporciona API, soporte de flujos de trabajo automatizados y montaje automatizado. También cumplen con los requisitos de FIPS y generalmente proporcionan una calificación más alta que los tokens.

Tradicionalmente, HSM es dispositivos físicos locales que requieren recursos calificados para administrar y proporcionar requisitos básicos y SLA. El mantenimiento de HSM puede ser costoso y un proceso intensivo por recursos, que en el pasado impidió la propagación de esta tecnología. Afortunadamente, en los últimos años, han aparecido módulos de nube de HSM, que proporcionan muchas de las ventajas del HSM local, sin necesidad de mantenimiento local.

Un ejemplo es un servicio de bóveda clave familiar en Microsoft Azure Cloud, que almacena las teclas criptográficas en la nube HSM de Microsoft. Si usted tiene organización pequeñaEso no le permitirá comprar y administrar su propio HSM, entonces esta es una gran solución que está integrada con los centros de certificación pública, incluidos GlobalSign.

Si está considerando una versión con la firma de documentos, recientemente lanzamos un nuevo servicio de servicio de firma digital, donde también se usa almacenamiento en la nube HSM para llaves cerradas. Vale la pena señalar que el nuevo servicio admite firmas individuales de todos los empleados. En el pasado, la mayoría de las soluciones de HSM para la firma solo fueron apoyadas por identificadores a nivel de departamentos u organizaciones (por ejemplo, contabilidad, comercialización, finanzas) y no individuos (por ejemplo, John DW). En consecuencia, para trabajar a nivel de empleados individuales, las organizaciones tenían que desplegar los tokens infrushuster, que, como señalamos anteriormente, pueden ser onerosos. Con este nuevo servicio, las firmas digitales de los empleados individuales se implementan sin la necesidad de administrar de forma independiente HSM (y sin riesgo de pérdida de tokens por parte de los empleados).

Aplicaciones Típicas:

• Firma de documentos o código en grandes cantidades.
• SSL (dependiendo de la configuración del servidor).
• La infraestructura de CA para el trabajo de su propia CA (raíz CA, Subordinate CA, RFC 3161 Time Label Server) en Offline o Online (Root CA, como regla, funciona sin conexión).

Futuros métodos de almacenamiento clave

A medida que más y más dispositivos están conectados a la red con la necesidad de autenticación y un intercambio de datos seguro, muchos desarrolladores y fabricantes se convierten en soluciones basadas en PKI. A su vez, esto conduce a nuevas consideraciones, requisitos y tecnologías para proteger las llaves cerradas. A continuación se presentan dos tendencias que vemos en esta área.

Módulo de plataforma de confianza (TPM)

IoT ha creado un problema cuando muchos dispositivos que interactúan anónimamente facilitan que los piratas informáticos intercepten los mensajes o la impersonación del dispositivo. El módulo TPM se introduce en la etapa de producción para la protección. clave criptográfica Y, por lo tanto, para una identificación confiable del dispositivo.

Durante la producción, se genera vapor a partir de llaves cerradas y abiertas. La clave pública va a la autoridad de certificación para firmar y emitir un certificado digital. La llave cerrada nunca abandona el dispositivo. Se almacena en el chip y no puede ser exportado / copiado / destruido. Ahora, el certificado es un pasaporte del dispositivo, y la clave privada protegida forma la raíz de hardware de confianza.

Funciones físicamente desconectadas (PUF)

La tecnología PUF en combinación con un medio de implementación de confianza (TEE) es una solución atractiva, si es necesario, se requiere de manera económica, fácil de integrar y de protección de teclas ultra segura. PUF, junto con PKI, conforman una solución exhaustiva para la identificación.

Nuestro socio de identificación intrínseca ha desarrollado dicho sistema de preparación de clave PUF de SRAM, que fabrica identificadores de dispositivos únicos, falsos y de copia en el nivel de hardware. Usando nuestros servicios de certificación, traducimos estos identificadores en certificados digitales agregando capacidades PKI. Por lo tanto, cada dispositivo se le asigna un único, protegido a la clonación de un par de teclas, que no se almacena en el dispositivo en el estado deshabilitado, pero el dispositivo puede recrear esta clave a pedido. Protege contra el ataque en el dispositivo discapacitado.

Claves de certificación

Si las claves se transmiten de alguna manera a la ubicación remota, deben revisarse al recibir el sujeto de si no están sujetos a intervención durante el proceso de transmisión. Esto se puede hacer manualmente o usar alguna forma de firma digital.

Las teclas abiertas están diseñadas para publicar o transmitir a otros usuarios y deben estar certificadas como propietario de un par de claves de propiedad. La certificación se realiza utilizando la Oficina de Certificado Central (Autoridad de Certificación, CA). En este caso, CA proporciona una firma digital en la llave abierta, y gracias a esto, la CA con confianza percibe el hecho de que la clave pública pertenece al titular de la palabra clave (ver Fig. 5).

Higo. 5. Certificación de clave pública en la Oficina de Certificado.

Sin la certificación correcta de la clave y su propietario, un atacante puede introducir sus propias claves y, por lo tanto, superar la protección de toda la información transmitida y autenticada.

Claves abiertas Pares de teclas abiertas No requiere protección de privacidad. Solo requieren garantizar la protección de la integridad mediante el uso de certificados. La clave secreta del par de llaves abiertas debe mantenerse todo el tiempo en secreto.

Si el atacante recibe una copia de la clave secreta, parece que la capacidad de leer todo el tráfico confidencial se dirige al propietario del par de claves, así como la información de firma digital como propietario del par de claves. La protección de la clave secreta debe aplicarse a todas las copias de ello. Por lo tanto, el archivo que contiene la clave debe estar protegido, así como cualquier medio de archivo en el que se puede grabar este archivo. La mayoría de los sistemas de protección clave se implementan utilizando contraseñas. Esta protección le permite proteger las claves de acciones de espías aleatorias, pero no de un ataque direccional conjunta. La contraseña utilizada para proteger la clave debe seleccionarse a fondo para enfrentar los ataques por resistencia aproximada. pero mejor manera La protección clave es, en primer lugar, evitando el acceso de un atacante a un archivo clave.

Es necesario proteger todas las claves clave usando las claves secretas. Si la clave está contenida en el archivo, este archivo debe estar protegido en cualquier lugar donde no esté (incluidos los transportistas de archivo). Si la clave está en la memoria, es necesario tomar medidas para proteger el espacio de memoria de la investigación por parte de usuarios o procesos. Del mismo modo, en el caso de un basurero (descarga de datos sobre hdd) El kernel, el archivo del kernel debe estar protegido, ya que puede contener la llave.