Como en toda transacción, bien sea que se utilice el correo postal tradicional, el sistema telefónico, y aún si se realizan frente a frente, en las transacciones por Internet hay que tomar precauciones para reducir los riesgos a un nivel aceptable.
Desde el punto de vista del comprador, sea este un individuo, o una empresa adquiriendo bienes de un proveedor por Internet, es necesario tener seguridad sobre quién está realmente tras las páginas web que ve, si es realmente quien dice ser y no se trata de una suplantación de identidad. Como Internet es una red pública, no privada, los compradores aún son temerosos y reacios a enviar a través de ella el número de su tarjeta de crédito.
En las transacciones frente a frente, en persona, vendedor y comprador se valen de señas físicas para asegurarse de que están negociando con una contraparte confiable: El vendedor puede verificar firma, la foto y documentos de identidad del cliente, y por su parte el cliente puede verificar el uso de escarapelas en los empleados, probar la mercancía y conservar recibos de su compra, etc.
Para tener una idea del lugar que ocupan estos sistemas de seguridad, debemos saber que la comunicación entre dos sistemas, en este caso computadores, se realiza a varios niveles: desde el nivel físico (señales eléctricas), hasta el nivel de aplicación (servicio o aplicación utilizada). En cada nivel se debe acordar cierto protocolo para que un extremo entienda al otro.
El esquema de seguridad SSL ejecuta un protocolo de negociación para establecer una conexión segura a nivel de socket (dirección de máquina más puerto).
Los servicios de seguridad de SSL son transparentes al usuario y a la aplicación, ya que están por debajo del nivel de aplicación, o sea que pueden ser utilizados por cualquier aplicación.
A nivel de aplicación, el HTTP es el protocolo utilizado en las comunicaciones de la aplicación web. Los protocolos S-HTTP están integrados con HTTP. Aquí, los servicios de seguridad se negocian a través de las cabeceras y atributos de la página. Por lo tanto, los servicios de S-HTTP están disponibles sólo para las conexiones del web. Dado que SSL se integra en la capa de sockets, también permite ser usado por otros protocolos además del HTTP, mientras que el S-HTTP está concebido para ser usado exclusivamente en comunicaciones HTTP.
El SSL es un sistema diseñado y propuesto por Netscape Communications Corporation. Se encuentra entre los niveles de TCP/IP y de los protocolos de aplicación como HTTP, FTP, y SMTP. Proporciona sus servicios de seguridad cifrando o encriptando los datos intercambiados entre el servidor y el cliente, y cifrando la clave de esa sesión mediante un algoritmo de clave pública. La clave de sesión es la que se utiliza para cifrar los datos que vienen del y van al servidor seguro. Se genera una clave de sesión distinta para cada transacción, lo cual garantiza que, aunque sea descubierta por un espía en una transacción dada, no sirve para descifrar futuras transacciones.
Cuando el cliente pide al servidor seguro una comunicación segura, el servidor activa un protocolo SSL Record que abre un puerto cifrado, y luego otro protocolo, denominado SSL Handshake que utiliza el SSL Record y el puerto abierto, para comunicarse de forma segura con el cliente. El protocolo SSL Record especifica la forma de encapsular los datos transmitidos y recibidos.
El protocolo S-HTTP fue desarrollado por Enterprise Integration Technologies (EIT). Al igual que SSL, permite tanto el cifrado como la autenticación digital. Sin embargo, a diferencia de SSL, SHTTP es un protocolo de nivel de aplicación. La propuesta de S-HTTP sugiere una nueva extensión para los documentos: “.shttp”.
Un programa cliente (browser o navegador) solicita un documento, le dice al servidor qué tipo de cifrado puede manejar y le dice también dónde puede encontrar su clave pública. Si el usuario con esa clave está autorizado a acceder al documento, el servidor responde cifrando el documento y enviándoselo al programa cliente, que usará su clave secreta para descifrarlo y mostrárselo al usuario. Las negociaciones entre los programas cliente y servidor tienen lugar intercambiando datos formateados. Estos datos incluyen una variedad de opciones de seguridad y algoritmos a utilizar.
Se hace imprescindible el contar con un mecanismo que dé fe de si un servidor seguro es quién creemos que es y podemos confiar en él a la hora de transmitir la información.
La forma como se hace es mediante las Autoridades de Certificación (AC), conocidas informalmente como notarios electrónicos, encargadas de autenticar a los participantes en transacciones y comunicaciones a través de la Red. Su función es emitir certificados a los usuarios, de manera que se pueda estar seguro de que el interlocutor (cliente o servidor) es quien pretende ser, garantizando así la seguridad de las transacciones.
Una herramienta muy utilizada para este tipo de protección de la privacidad, es la que se conoce en la criptografía como clave secreta. Ejemplos comunes de estas son las claves de las tarjetas de crédito y las contraseñas (passwords) para acceder a sistemas informáticos. La clave la comparten ambos actores o extremos de la transacción, y la información la puede codificar el sistema con base en esa clave secreta, de modo que solamente pueda ser decodificada o descifrada por quien tenga la clave.
Para obviar problemas como estos, la tecnología de los Certificados Digitales no se basa en ese esquema de compartir una clave secreta. Aquí se usa una pareja especial de claves, una para codificar o encriptar, y otra para decodificar. Las dos claves de cada pareja son complementarias entre sí, lo que hace una puede deshacerse solamente por su pareja.
La identificación digital del vendedor contiene el nombre, la clave pública, y la firma digital propia de la Autoridad Certificadora, más otros datos. Esa identificación digital indica a los clientes y corresponsales que, en efecto, la clave pública si pertenece al vendedor. Los compradores o corresponsales que desean comunicarse con el vendedor privadamente, pueden usar la clave pública, que aparece en la identificación digital del vendedor, para codificar la información. El único que puede descifrar la información es el vendedor.
La sola clave pública no da acceso a las comunicaciones, así que no hay que preocuparse por quién la posea. Normalmente este esquema funciona sobre una implementación del SSL.
Suscríbete a nuestro Magazine
Recibe Artículos, Conferencias
y Master Class
Tecnología
Tecnología
Tecnología
Comentarios