gpg

PGP
Es una aplicación de alta seguridad criptográfica que puede ser utilizada bajo varias plataformas (MSDOS, UNIX, VAX/VMS), nos permite intercambiar archivos o mensajes con privacidad, autenticidad y conveniencia.

La Privacidad significa que solamente aquellas personas a las cuales se pretende enviar un mensaje pueden leerlo. La Autenticidad significa que los mensajes que parecen ser de una persona en particular, solamente puede haber sido originado por esa persona. La Conveniencia significa que la privacidad y la autenticidad es dada sin la necesidad del manejo de llaves asociadas con programas convencionales de criptografía.

Con PGP no se necesitan canales seguros para intercambiar las llaves entre los usuarios, lo cual hace mas fácil su utilización; esto es porque PGP esta basado en una tecnología llamada criptografía de llave pública.

Es un programa desarrollado por Phil Zimmermann y cuya finalidad es proteger la información distribuida a través de Internet mediante el uso de criptografía de clave pública, así como facilitar la autenticación de documentos gracias a firmas digitales.
Utilizado correctamente, PGP puede proporcionar un gran nivel de seguridad. Es más, observadores informados creen que ni siquiera las agencias del gobierno estadounidense como la NSA son capaces de descifrar directamente mensajes generados adecuadamente con PGP.

A diferencia de protocolos de seguridad como SSL, que sólo protege los datos en tránsito (es decir, mientras se transmiten a través de la red), PGP también puede utilizarse para proteger datos almacenados en discos, copias de seguridad, etcétera.PGP Usa una función de 3 claves

La IETF se ha basado en el diseño de PGP para crear el estándar de Internet OpenPGP. Las últimas versiones de PGP son conformes o compatibles en mayor o menor medida con ese estándar. La compatibilidad entre versiones de PGP y la historia del esfuerzo por estandarizar OpenPGP, se tratan a continuación.

IETF
Internet Engineering Task Force, en castellano Grupo de Trabajo en Ingeniería de Internet. Es una organización internacional abierta de normalización. que tiene como objetivos el contribuir a la ingeniería de Internet, actuando en diversas áreas, tales como transporte, encaminamiento, seguridad. Fue creada en EE. UU. en 1986.
Es una institución formada básicamente por técnicos en Internet e informática cuya misión es velar porque la arquitectura de la red y los protocolos técnicos que unen a millones de usuarios de todo el mundo funcionen correctamente. Es la organización que se considera con más autoridad para establecer modificaciones de los parámetros técnicos bajo los que funciona la red.

OpenPGP
es un estándar de internet para la interoperatibilidad de mensajes protegidos con criptografía. Creado a partir de las ideas desarrolladas en el PGP. Actualmente está definido en la RFC 2440 (julio de 1998).Esta es una definición de software de seguridad que utiliza PGP 5.x como base.
OpenPGP utiliza dos programas:* Pretty Good Privacy (PGP)* GNU Privacy Guard (GPG)

GPG
GNU Privacy Guard es una herramienta para cifrado y firmas digitales, que viene a ser un reemplazo del PGP (Pretty Good Privacy) pero con la principal diferencia que es software libre licenciado bajo la GPL. GPG utiliza el estándar del IETF denominado OpenPGP.

GPG es estable, calificado como un software para el uso en producción y es comúnmente incluido en los sistemas operativos como FreeBSD, OpenBSD, NetBSD y últimamente con todas las distribuciones GNU/Linux.

GPG cifra los mensajes usando pares de claves individuales asimétricas generadas por los usuarios. Las claves públicas pueden ser compartidas con otros usuarios de muchas maneras, un ejemplo de ello es depositándolas en los servidores de claves. Siempre deben ser compartidas cuidadosamente para prevenir falsas identidades por la corrupción de las claves públicas. También es posible añadir una firma digital criptográfica a un mensaje, de esta manera la totalidad del mensaje y el remitente pueden ser verificados en caso de que se desconfíe de una correspondencia en particular.
GPG no usa algoritmos de software que están restringidos por patentes, entre estos se encuentra el algoritmo de cifrado IDEA que está presente en PGP casi desde sus inicios. En su lugar usa una serie de algoritmos no patentados como ElGamal, CAST5, Triple DES (3DES), AES y Blowfish. También es posible usar IDEA en GPG descargando un plugin extra, sin embargo este puede requerir una licencia para usuarios de algunos países en donde esté patentada IDEA.

GPG es un software de cifrado híbrido que usa una combinación convencional de criptografía de claves simétricas para la rapidez y criptografía de claves públicas para el fácil compartimiento de claves seguras, típicamente usando recipientes de claves públicas para cifrar una sesión de clave que es usada una vez. Este modo de operación es parte del estándar OpenPGP y ha sido parte del PGP desde su primera versión.

RFC 2440

OpenPGP, descrito en el RFC 2440, usa la codificación Radix-64, también conocida como ASCII Armor. Radix-64 es idéntico a base64 de MIME, salvo en que añade una suma de verificación CRC de 24 bits. Esta suma se calcula sobre los datos de entrada, antes de codificar, y posteriormente se codifica con el mismo base64 para ser concatenada a la codificación resultante.

Este documento proporciona información sobre el formato de intercambio de paquetes de mensajes utilizados por openpgp para proporcionar cifrado, descifrado, firma y las principales funciones de gestión. Se basa en la fundación en RFC 1991 "PGP Message Exchange Formats." (Formatos de intercambio de mensajes de PGP).

pki

pki

Infraestructura de clave pública (public key infraestructure) es la forma común de referirse a un sistema complejo necesario para la gestión de certificados digitales y aplicaciones de la Firma Digital.
Es una combinación de hardware, software, políticas y procedimientos de seguridad que permiten la ejecución con garantías de operaciones criptográficas tales como el cifrado y la firma digita. El término PKI se utiliza para referirse tanto a la autoridad de certificación y al resto de componentes.

Firma digital
La firma digital o firma electrónica puede ser definida como una secuencia de datos electrónicos obtenidos mediante la aplicación a algún mensaje de un algoritmo de cifrado asimétrico o de clave publica, este método criptográfico asocia la identidad del autor con el mensaje enviado.
la firma digital es una simple cadena o secuencia de caracteres que se adjunta al final del cuerpo del mensaje. la firma electrónica, como la firma manuscrita puede vincularse a un documento para identificar al autor.

Llave publica
La llave pública usa un par de claves criptográficas. Una clave sirve para encriptar la información, y la otra clave puede desencriptar la información. Por consiguiente, en un sistema de clave pública se tiene lo siguiente:
Una clave pública: se hace público - se encuentra a disposición de todos.Una correspondiente (y única) clave privada: se debe mantener en secreto y no se comparte a los demás.

Elementos de una pki
Autoridades de certificación: emiten y revocan certificados
Autoridades de registracion: atestiguan la ligadura entre las claves públicas y las entidades propietarias de los certificados
Poseedores de certificados: pueden firmar documentos digitales
Repositorios: guardan y hacen disponibles los certificados

Smart card
Una tarjeta inteligente (smart card), o tarjeta con circuito integrado (TCI), es cualquier tarjeta del tamaño de un bolsillo con circuitos integrados que permiten la ejecución de cierta lógica programada. Aunque existe un diverso rango de aplicaciones, hay dos categorías principales de TCI. Las Tarjetas de memoria contienen sólo componentes de memoria no volátil y posiblemente alguna lógica de seguridad. Las tarjetas microprocesadoras contienen memoria y microprocesadores.

token
Un token de seguridad (también token de autenticación o token criptográfico) es un dispositivo electrónico que se le da a un usuario autorizado de un servicio computarizado para facilitar el proceso de autenticación. Los tokens electrónicos tienen un tamaño pequeño que permiten ser cómodamente llevados en el bolsillo o la cartera y son normalmente diseñados para atarlos a un llavero. Los tokens electrónicos se usan para almacenar claves criptográficas como firmas digitales, o datos biométricos como las huellas digitales. Algunos diseños se hacen a prueba de alteraciones, otro pueden incluir teclados para la entrada de un PIN.
Existen más de una clase de token de autenticación, tenemos los bien conocidos generadores de contraseñas dinámicas "OTP" y la que comúnmente denominamos tokens USB, los cuales no solo perminten almacenar passwords y certificados, sino que permiten llevar la identidad digital de la persona.

Biometría
La "biometría informática" es la aplicación de técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo, para “verificar” identidades o para “identificar” individuos.

Entidad certificadora
En criptografía una Autoridad de certificación, certificadora o certificante (AC o CA por sus siglas en inglés Certification Authority) es una entidad de confianza, responsable de emitir y revocar los certificados digitales o certificados, utilizados en la firma electrónica, para lo cual se emplea la criptografía de clave pública. Jurídicamente es un caso particular de Prestador de Servicios de Certificación.

Esquema pki

Soluciones pki

criptografia

Criptografía

Es cifrar y descifrar información utilizando técnicas que hagan posible el intercambio de información de manera segura y que sólo puedan ser leídos por las personas autorizadas.

cuando se habla de esta área de conocimiento como ciencia se debería hablar de criptología, que engloba tanto las técnicas de cifrado, la criptografía propiamente dicha, como sus técnicas complementarias: el criptoanálisis, que estudia los métodos que se utilizan para romper textos cifrados con objeto de recuperar la información original en ausencia de las claves.

Criptoanálisis

Es el estudio de los métodos para obtener el sentido de una información cifrada, sin acceso a la información secreta requerida para obtener este sentido normalmente. Típicamente, esto se traduce en conseguir la clave secreta. En el lenguaje no técnico, se conoce esta práctica como romper o forzar el código, aunque esta expresión tiene un significado específico dentro del argot técnico.

Criptosistema

Colección de formas transformaciones de texto claro en texto cifrado y viceversa, en la que la transformación o transformaciones que se han de utilizar son seleccionadas por claves. Las transformaciones son definidas normalmente por un algoritmo matemático. [X.509:2005]

Hash En informática, Hash se refiere a una función o método para generar claves o llaves que representen de manera casi unívoca a un documento, registro, archivo, etc., resumir o identificar un dato a través de la probabilidad, utilizando una función hash o algoritmo hash. Un hash es el resultado de dicha función o algoritmo.

Una función de hash es una función para resumir o identificar probabilísticamente un gran conjunto de información, dando como resultado un conjunto imagen finito generalmente menor (un subconjunto de los números naturales por ejemplo). Varían en los conjuntos de partida y de llegada y en cómo afectan a la salida similitudes o patrones de la entrada. Una propiedad fundamental del hashing es que si dos resultados de una misma función son diferentes, entonces las dos entradas que generaron dichos resultados también lo son.

Criptografía clásica

El cifrado de textos es ha sido ampliamente usada a lo largo de la historia humana, es necesario enviar mensajes con información confidencial y sensible a través de medios no seguros.

El primer sistema criptográfico como tal conocido de debe a Julio Cesar. Su sistema consistía en reemplazar en el mensaje a enviar cada letra por la situada tres posiciones por delante en el alfabeto latino. Para volver al mensaje original desde el texto cifrado tan sólo hay que coger un alfabeto e ir sustituyendo cada letra por la que está tres posiciones antes en el mismo. En nuestro alfabeto actual tendríamos la siguiente tabla de equivalencias:

A

B

C

D

E

F

G

H

I

J

K

L

M

N

Ñ

O

P

Q

R

S

T

U

V

W

X

Y

Z

D

E

F

G

H

I

J

K

L

M

N

Ñ

O

P

Q

R

S

T

U

V

W

X

Y

Z

A

B

C

Criptologia moderna

Los sistemas criptográficos clásicos presentaban dificultades en cuanto a seguridad y tiempo necesario para encriptar y desencriptar el mensaje.

En la era moderna esta barrera clásica se rompió, debido principalmente a los siguientes factores:

• velocidad de cálculo: con la aparición de los computadores se dispuso de una potencia de cálculo muy superior a la de los métodos clásicos.
• avance de las matemáticas: que permitieron encontrar y definir con claridad sistemas criptográficos estables y seguros.
• necesidades de seguridad: surgieron muchas actividades nuevas que precisaban la ocultación de datos, con lo que la Criptología experimentó un fuerte avance.

A partir de estas bases surgieron nuevos y complejos sistemas criptográficos, que se clasificaron en dos tipos o familias principales, los de clave simétrica (privada) y los de clave pública. Los modernos algoritmos de encriptación simétricos mezclan la transposición y la permutación, mientras que los de clave asimétrica (pública) se basan más en complejas operaciones matemáticas

La criptografía simétrica es el método criptográfico que usa una misma clave para cifrar y descifrar mensajes. Las dos partes que se comunican han de ponerse de acuerdo de antemano sobre la clave a usar. Una vez ambas tienen acceso a esta clave, el remitente cifra un mensaje usándola, lo envía al destinatario, y éste lo descifra con la misma.

La criptografía asimétrica es el método criptográfico que usa un par de claves para el envío de mensajes. Las dos claves pertenecen a la misma persona a la que se ha enviado el mensaje. Una clave es pública y se puede entregar a cualquier persona, la otra clave es privada y el propietario debe guardarla de modo que nadie tenga acceso a ella.

Si el remitente usa la clave pública del destinatario para cifrar el mensaje, una vez cifrado, sólo la clave privada del destinatario podrá descifrar este mensaje, ya que es el único que la conoce. Por tanto se logra la confidencialidad del envío del mensaje.

Sistema de claves publicas

En este sistema la clave o llave privada debe mantenerla en secreto su propietario, ya que es la base de la seguridad del sistema, la clave pública es difundida ampliamente por Internet, para que esté al alcance del mayor número posible de personas, existiendo servidores que guardan, administran y difunden dichas claves.

Md5: En criptografia (Message-Digest Algorithm 5, Algoritmo de Resumen del Mensaje 5) es un algoritmo de reducción criptográfico de 128 bits ampliamente usado.Fue desarrollado en 1991 como reemplazo del algoritmo MD4 después de que Hans Dobbertin descubriese su debilidad.

Rsa: El sistema criptográfico con clave pública RSA es un algoritmo asimétrico cifrador de bloques, que utiliza una clave pública, la cual se distribuye (en forma autenticada preferentemente), y otra privada, la cual es guardada en secreto por su propietario

Dsa: (Digital Signature Algorithm, algoritmo de Firma digital) es un estándar del Gobierno Federal de los Estados Unidos de América o FIPS para firmas digitales. Fue un Algoritmo propuesto por el Instituto Nacional de Normas y Tecnologia de los Estados Unidos para su uso en su Estándar de Firma Digital(DSS), especificado en el FIPS 186. DSA se hizo público el 30 de agosto de 1991, este algoritmo como su nombre lo indica, sirve para firmar y no para cifrar información. Una desventaja de este algoritmo es que requiere mucho más tiempo de cómputo que RSA.

Texto cifrado usando la técnica cesar

krñd mrpdwkdp = hola jonathatan

Seguridad informática

Seguridad informática

Consiste en sistemas, métodos y herramientas que protegen los recursos del sistema de información de una organización.

Aspectos de seguridad
Integridad, confidencialidad, disponibilidad y no repudio.

Términos
Activos: recursos de información
Amenaza: evento desafortunado
Riesgo: posibilidad de algo desafortunado
Vulnerabilidad: posibilidad de amenaza

Amenazas del sistema
Interrupción
Intercepción
Modificación
Generación
Fabricación

Política de seguridad
Lo que se quiere proteger y riesgos potenciales

Seguridad física: protección en cuanto al ambiente
Seguridad lógica: protección de aplicaciones y datos

Normas de seguridad
La norma ISO/IEC 17799 es una guía de buenas prácticas y no especifica los requisitos necesarios que puedan permitir el establecimiento de un sistema de certificación adecuado para este documento.
La norma ISO/IEC 27001 (Information technology - Security techniques - Information security management systems - Requirements) sí es certificable y especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la seguridad de la información según el famoso “Círculo de deming”: PDCA - acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar). Es consistente con las mejores prácticas descritas en ISO/IEC 17799 y tiene su origen en la norma británica British Standard BS 7799-2 publicada por primera vez en 1998 y que se elaboró con el propósito de poder certificar los Sistemas de Gestión de la Seguridad de la Información implantados en las organizaciones y por medio de un proceso formal de auditoría realizado por un tercero.

Política de seguridad
Una política de Seguridad son un conjunto de documentos que marcan la estrategia de la empresa en relación con la seguridad informática. Suelen constar de documentos a distintos niveles:
Política: Sería como un documento de declaración de intenciones.
Normativas: Son la descripción de obligaciones para hacer cumplir las políticas. Describen acciones concretas sobre distintos activos. Describen “el qué se hace”.
Procedimientos: Son las descripciones técnicas que hacen cumplir las normativas. Están adaptadas a según que tecnología. Describen “el cómo se hace”.

Delitos informáticos
La organización de Naciones Unidas (ONU) reconocen los siguientes tipos de delitos informáticos:
Fraudes cometidos mediante manipulación de computadoras
Manipulación de los datos de entrada: este tipo de fraude informático conocido también como sustracción de datos, representa el delito informático más común ya que es fácil de cometer y difícil de descubrir.
La manipulación de programas: consiste en modificar los programas existentes en el sistema o en insertar nuevos programas o rutinas. Es muy difícil de descubrir y a menudo pasa inadvertida debido a que el delincuente tiene conocimientos técnicos concretos de informática y programación.
Manipulación de los datos de salida: se efectúa fijando un objetivo al funcionamiento del sistema informático. El ejemplo más común es el fraude del que se hace objeto a los cajeros automáticos mediante la falsificación de instrucciones para la computadora en la fase de adquisición de datos.
Fraude efectuado por manipulación informática: aprovecha las repeticiones automáticas de los procesos de cómputo. Es una técnica especializada que se denomina "técnica del salchichón" en la que "rodajas muy finas" apenas perceptibles, de transacciones financieras, se van sacando repetidamente de una cuenta y se transfieren a otra. Se basa en el principio de que 10,66 es igual a 10,65 pasando 0,01 centavos a la cuenta del ladrón n veces.
Manipulación de los datos de entrada
Como objeto: cuando se alteran datos de los documentos almacenados en forma computarizada.
Como instrumento: las computadoras pueden utilizarse también para efectuar falsificaciones de documentos de uso comercial.
Daños o modificaciones de programas o datos computarizados
Sabotaje informático: es el acto de borrar, suprimir o modificar sin autorización funciones o datos de computadora con intención de obstaculizar el funcionamiento normal del sistema.
Acceso no a autorizado a servicios y sistemas informáticos: estos acceso se pueden realizar por diversos motivos, desde la simple curiosidad hasta el sabotaje o espionaje informático.
Reproducción no autorizada de programas informáticos de protección legal: esta puede entrañar una pérdida económica sustancial para los propietarios legítimos. Algunas jurisdicciones han tipificado como delito esta clase de actividad y la han sometido a sanciones penales. El problema ha alcanzado dimensiones transnacionales con el tráfico de esas reproducciones no autorizadas a través de las redes de telecomunicaciones modernas. Al respecto, se considera, que la reproducción no autorizada de programas informáticos no es un delito informático debido a que el bien jurídico a tutelar es la propiedad intelectual.
Adicionalmente a estos tipos de delitos reconocidos, el XV Congreso Internacional de Derecho ha propuesto todas las formas de conductas lesivas de la que puede ser objeto la información.
Ellas son:
"Fraude en el campo de la informática.
Falsificación en materia informática.
Sabotaje informático y daños a datos computarizados o programas informáticos.
Acceso no autorizado.
Intercepción sin autorización.
Reproducción no autorizada de un programa informático protegido.
Espionaje informático.
Uso no autorizado de una computadora.
Tráfico de claves informáticas obtenidas por medio ilícito.
Distribución de virus o programas delictivos."

Legislación informática COLOMBIA
Actualizada junio de 2007
Ley 23, de 28 de enero de 1982, sobre derecho de autor, que protege la imagen individual frente a varias formas de abuso.
Anteproyecto de Ley Colombiana de 1987. Propuesta de la Universidad de los Andes.
Código procesal penal de 1987, que tutela la inviolabilidad del domicilio y regula en su artículo 376 las escuchas telefónicas.
Ley de Protección de datos de 1988.
Decreto nº 1360, de 23 de junio de 1989, por el cual se reglamenta el Registro de los programas de computador.
Ley 72/1989, de 20 de diciembre de 1989, por la cual se definen nuevos conceptos y principios sobre la Organización de las Telecomunicaciones en Colombia y sobre el régimen de concesión de los servicios y se confieren unas facultades extraordinarias al Presidente de la República.
Constitución Política Colombiana (modificada en 1991).
Decreto 1794/1991, de 16 de julio de 1991, por el cual se Expiden Normas sobre los Servicios de Valor Agregado y Telemáticos y se Reglamenta el Decreto 1900 de 1990.
Ley nº44, de 5 de Feberero de 1993, sobre Obras de Empleados Públicos y Derechos de Autor, por la que se Modifica y Adiciona la Ley Nº 23 de 1982 y se Modifica la Ley Nº 29 de 1944.
Decreto 460 de 16 de marzo de 1995. Reglamento del Registro Nacional de Derechos de Autor.
Decreto 2150 de 1995 sobre sistemas electrónicos, de 5 de diciembre de 1995, que busca la simplificación de trámites ante Entidades Estatales. (Diario Oficial 42.137, del 6 de diciembre de 1995).
Decreto nº 162, de 22 de enero de 1996, sobre Sociedades de Gestión de Derechos de Autor y Conexos.
Ley 279 de 1996. Estatutaria de la Administración de Justicia de 7 de marzo
Proyecto de Ley nº 227 de 21 de abril de 1998, por medio del cual se define y Reglamenta el Acceso y el uso del Comercio Electrónico
Decreto 1122 de 1999. Declarado inasequible por vicios de forma, mediante sentencia de la Corte Constitucional C-923/99.
Decreto 1487/ 1999, de 12 de Agosto, por Medio del Cual se Autoriza el Sistema Declaración y Pago Electrónico de la DIAN y se Establecen algunos Parámetros Operativos para la Presentación de las Declaraciones Tributarias y el Pago de los Impuestos por Vía Electrónica.
Ley nº 527 de Comercio Electrónico de Colombia de 18 de agosto de 1999.
Resolución 831/1999, de 1 de septiembre de 1999, por la cual se Adopta y Establecen los Parámetros Operativos del Sistema Declaración y Pago Electrónico de la DIAN, para Presentar las Declaraciones Tributarias y Efectuar los Pagos de los Impuestos Administrados por la Dirección de Impuestos y Aduanas Nacionales y de las Retenciones en la Fuente.
Resolución 270/2000, de 4 de marzo de 2000, por la cual se Dictan Normas sobre Protección a los Usuarios para la Prestación de Servicios Públicos No Domiciliarios de Telecomunicaciones.
Código Penal de 24 de julio de 2000.
Ley 527 de 18 de agosto de 1999, sobre Mensajes de Datos, Comercio electrónico y Firma Digital.
Acción pública de inconstitucionalidad contra la Ley 527 sobre Mensajes de Datos, Comercio Electrónico y Firma Digital de 8 de junio de 2000.
Ley 588 de 5 de julio de 2000 por medio de la cual se reglamenta el ejercicio de la actividad notarial.
Ley 598 de 18 de julio de 2000, por la cual se crean el Sistema de Información para la Vigilancia de la Contratación Estatal, SICE, el Catálogo único de Bienes y Servicios, CUBS, y el Registro Único de Precios de Referencia, RUPR, de los bienes y servicios de uso común en la administración pública y se dictan otras disposiciones.
Ley 599 de 24 de julio de 2000, Código Penal
Decreto 1747 de 11 de septiembre de 2000, por el cual se reglamenta parcialmente la Ley 527 certificados y firmas digitales.
Resolución 7652/2000, de 22 de septiembre de la Dirección General de Impuestos y Aduanas Nacionales, por la cual se reglamenta la administración, publicación y uso de la información electrónica vía INTRANET e INTERNET en la Dirección de Impuestos y Aduanas Nacionales.
Resolución 307/2000, de 2 de octubre de la Comisión de Regulación de Telecomunicaciones, por la cual se promueve el acceso a Internet a través de planes tarifarios para el servicio de Tpbcl y se dictan otras disposiciones
Resolución 26930/2000, de 26 de octubre de la Superintendencia de Industria y Comercio, por la cual se fijan los estándares para la autorización y funcionamiento de las entidades de certificación y sus auditores.
Proyecto de Ley 35 de 2001 Cámara. Aspectos jurídicos de los servicios de la sociedad de la información, en desarrollo del Comercio Electrónico.
Decreto 408 de 14 de marzo de 2001, por medio del cual se reglamenta el artículo 579º-2 del Estatuto Tributario.
Ley 679 de 2001 sobre Abuso y pornografía de menores en Internet. (Diario Oficial número 44509 del 4 de agosto de 2001).
Resolución 36904/2001, de 6 de noviembre de la Superintendencia de Industria y Comercio, Por la cual se fijan los estándares para la autorización y funcionamiento de las entidades de certificación y sus auditores.
Radicación 1376 del Consejo de Estado de 11 de diciembre de 2001 sobre Nombres de Dominio.
Decreto 55 de 15 de febrero de 2002 de la Alcaldía Mayor de Bogotá, por medio del cual se establece “El Sistema de Declaración y Pago de Impuestos Distritales a través de medios electrónicos”.
Resolución 5339/2002, de 6 de mayo, de la Contraloría General de la República, por la cual se modifican las Resoluciones 5313 y 5314 de febrero 28 de 2002.
Resolución 600/2002 de 7 de mayo, del Ministerio de Comunicaciones, por medio de la cual se regula parcialmente la administración del dominio punto co= .co
Decreto nº 1524 de 24 de julio de 2002, "Por el cual se reglamenta el artículo 5 de la Ley 679 de 2001".
Ley 765 de 31 de Julio de 2002, por medio de la cual se aprueba el "Protocolo Facultativo de la Convención sobre los Derechos del Niño relativo a la venta de niños, la prostitución infantil y la utilización de los niños en la pornografía", adoptado en Nueva York, el 25 de mayo de 2000. (Diario Oficial número 44.889, de 5 de agosto de 2002).
Proyecto de Ley 71, de 4 de septiembre de 2002, del Senado de la República, por la cual se reglamentan los bancos de datos financieros o de solvencia patrimonial y crediticia y se dictan otras disposiciones.
Decreto 2170 de 30 de septiembre de 2002, por el cual se reglamenta la Ley 80 de 1993, se modifica el decreto 855 de 1994 y se dictan otras disposiciones en aplicación de la Ley 527 de 1999.
Ley 794 de 2003 de 8 de enero. Por la cual se modifica el Código de Procedimiento Civil, se regula el proceso ejecutivo y se dictan otras disposiciones. (Diario Oficial Nº. 45.058 de 9 de enero de 2003).
Resolución 20/2003, de 14 de enero, del Ministerio de Comunicaciones, por medio de la cual se establece el procedimiento a seguir por el Ministerio de Comunicaciones para la fijación de las condiciones de administración del dominio .co.
Decreto 67 de 15 de enero de 2003, por el cual se prorroga el plazo previsto en el primer inciso del artículo 8º del Decreto 1524 de 2002.
Proyecto de Ley 166 de 31 de enero de 2003, por el cual se regulan las comunicaciones Vía Internet y mediante el uso de Fax que se realicen desde lugares habilitados para brindar al público esos servicios.
Decreto 600 de 14 de marzo de 2003, por medio del cual se expiden normas sobre los servicios de valor agregado y telemáticos y se reglamente el Decreto-ley 1900 de 1990.
Decreto 866 de 8 de abril de 2003, por el cual se modifica el artículo 14º del Decreto 2170 de 2002.
Resolución 1455/2003 de 5 de septiembre, del Ministerio de Comunicaciones, por medio de la cual se regula la administración de registros del dominio .co
Decreto 4149 de 10 de diciembre de 2004, por el cual se racionalizan algunos trámites y procedimientos de comercio exterior, se crea la Ventanilla Única de Comercio Exterior y se dictan otras disposiciones.
Resolución 1271 de 24 de junio de 2005 del Ministerio de Comercio, Industria y Turismo, por la cual se fija el precio de los aplicativos informáticos para su transmisión a la Ventanilla Única de Comercio Exterior - VUCE - .
Ley 962 de 8 de Julio de 2005, por la cual se dictan disposiciones sobre racionalización de trámites y procedimientos administrativos de los organismos y entidades del Estado y de los particulares que ejercen funciones públicas o prestan servicios públicos.
Decreto 2926 de 25 de agosto de 2005, por el cual se modifica el Decreto 2542 de 1997.
Proyecto de Ley nº 05/2006 Senado "Por el cual se reglamenta el Habeas Data y el Derecho de Petición ante Entidades Financieras, Bancarias y Centrales o Banco de Datos". Acumulado Proyecto de Ley nº 27/2006 Senado "Por la cual se dictan las disposiciones generales del habeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera y crediticia, y se dictan otras disposiciones". Aprobado por la comisión el día 12 de Octubre de 2006.
Proyecto de Ley nº 117/2006. Camara. Acumulada nº 119/06. Camara. Por el cual se reforman las leyes 23 de 1982, 44 de 1993 y 232 de 1995 con el fin de garantizar eficaz protección a los derechos de autores, compositores e interpretes de obras musicales. Por medio de la cual se modifica el artículo 164 de la Ley 23 de 1982. (archivado art. 190 Ley 5).
Proyecto de Ley nº 184/06. Camara. Por la cual se adiciona la Ley 23 de 1992, sobre Derechos de Autor. (retirado por su autor).
Proyecto de Ley nº 194/06. Camara. Por la cual se adiciona la Ley 23 de 1992, sobre Derechos de Autor. (retirado por su autor).
Informe de Conciliación al Proyecto de Ley Estatutaria 221/2007 de 4 de junio de 2007, sobre el Derecho de Habeas Data.

Solución ejercicio
ISO/IEC 17799 (también ISO 27002) es un estándar para la seguridad de la información publicado por primera vez como ISO/IEC 17799:2000 por international organization for standardization y por la comisión international electrotechnical commission en el año 2000 y con el título de Information technology - Security techniques - Code of practice for information security management. Tras un periodo de revisión y actualización de los contenidos del estándar se publicó en el año 2005 el documento actualizado denominado ISO/IEC 17799:2005. El estándar ISO/IEC 17799 tiene su origen en archivo: la norma británica British Standard BS 7799-1 que fue publicada por primera vez en 1995.

ISO/IEC 27001 es el estándar para la seguridad de la información (Information technology - Security techniques - Information security management systems - Requirements) fue aprobado y publicado como estándar internacional en Octubre de 2005 por international organization for standardization y por la comisión international electrotechnical commission.
Especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) según el conocido “Ciclo de deming”: PDCA - acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar). Es consistente con las mejores prácticas descritas en ISO/IEC 17799 (actual ISO/IEC 27002) y tiene su origen en la revisión de la norma británica British Standard BS 7799-2:2002.

Comparación entre ISO 17799 e ISO 27001
- Ha diferenta de la norma ISO 17799, la ISO 27001 establece los requisitos para construir un SGSI (Sistemas de Gestión de la Seguridad de la Información) “auditable” y “certificable” la parte de la administración
- la ISO 17799 no es certificable y tampoco fue diseñada para certificar
- la ISO 17799 es para la ISO 27001, una relación de controles necesarios para garantizar la seguridad de la información
-ISO 27001 especifica los requisitos para implantar, operar, vigilar, mantener, evaluar un sistema de seguridad informática explícitamente.
- ISO 27001 permite auditar un sistema bajo lineamientos ISO 17799 para certificar ISMS (Information Security Management System).
-ISO 17799 comprende cláusulas enfocadas a prácticas y métodos fundamentales de seguridad contemporánea contemplando avances tecnológicos
-La norma ISO 27001 contiene un anexo que resume los controles de ISO17799:2005.

Instituciones relacionadas con la redacción de normas de seguridad de información
ICONTEC
El Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) es un organismo multinacional de carácter privado, sin ánimo de lucro, que trabaja para fomentar la normalización, la certificación, la metrología y la gestión de la calidad en Colombia. Está conformado por la vinculación voluntaria de representantes del Gobierno Nacional, de los sectores privados de la producción, distribución y consumo, el sector tecnológico en sus diferentes ramas y por todas aquellas personas jurídicas y naturales que tengan interés en pertenecer a él.
ICONTEC es un organismo de certificación con cubrimiento mundial, gracias a su vinculación a la Red Internacional de Certificación, IQNet (red que integra a las entidades certificadoras más importantes, con más de 150 subsidiarias alrededor del mundo y con cuarenta acreditaciones).
¿Que es la normalización?
Normalización es la actividad que establece disposiciones para uso común y repetido, encaminadas al logro del grado óptimo de orden con respecto a problemas reales o potenciales, en un contexto dado. En particular, la actividad consta de los procesos de formulación, publicación e implementación de normas.

Estadísticas
Desde hace cinco años, en los Estados Unidos existe una institución que realiza un estudio anual sobre la seguridad informática y los crímenes cometidos a través de las computadoras.
Esta entidad es El Instituto de Seguridad de Computadoras (CSI), quien anunció recientemente los resultados de su quinto estudio anual denominado «Estudio de Seguridad y Delitos Informáticos» realizado a un total de 273 Instituciones principalmente grandes Corporaciones y Agencias del Gobierno.
Este Estudio de Seguridad y Delitos Informáticos es dirigido por CSI con la participación Agencia Federal de Investigación (FBI) de San Francisco, División de delitos informáticos. El objetivo de este esfuerzo es levantar el nivel de conocimiento de seguridad, así como ayudar a determinar el alcance de los Delitos Informáticos en los Estados Unidos de Norteamérica.
Entre lo más destacable del Estudio de Seguridad y Delitos Informáticos 2000 se puede incluir lo siguiente:Violaciones a la seguridad informática.- No reportaron Violaciones de Seguridad 10%- Reportaron Violaciones de Seguridad 90%
90% de los encuestados descubrió violaciones a la seguridad de las computadoras dentro de los últimos doce meses.
70% reportaron una variedad de serias violaciones de seguridad de las computadoras, y que el más común de estas violaciones son los virus de computadoras, robo de computadoras portátiles o abusos por parte de los empleados - por ejemplo, robo de información, fraude financiero, penetración del sistema por intrusos y sabotaje de datos o redes.
Pérdidas Financieras.
74% reconocieron pérdidas financieras debido a las violaciones de las computadoras. -
Las pérdidas financieras ascendieron a $265,589,940 (el promedio total anual durante los últimos tres años era $120,240,180).
61 encuestados cuantificaron pérdidas debido al sabotaje de datos o redes para un total de $27,148,000. Las pérdidas financieras totales debido al sabotaje durante los años anteriores combinados ascendido a sólo $10,848,850. Como en años anteriores, las pérdidas financieras más serias, ocurrieron a través de robo de información (66 encuestados reportaron $66,708,000) y el fraude financiero (53 encuestados informaron $55,996,000). Los resultados del estudio ilustran que esa amenaza del crimen por computadoras a las grandes corporaciones y agencias del gobierno viene de ambos lados dentro y fuera de sus perímetros electrónicos, confirmando la tendencia en años anteriores.
Como en años anteriores, las pérdidas financieras más serias, ocurrieron a través de robo de información (66 encuestados reportaron $66,708,000) y el fraude financiero (53 encuestados informaron $55,996,000).
Los resultados del estudio ilustran que esa amenaza del crimen por computadoras a las grandes corporaciones y agencias del gobierno viene de ambos lados dentro y fuera de sus perímetros electrónicos, confirmando la tendencia en años anteriores.

Instituciones certificadoras
CISSP: Certified Information System Security Professional
CompTIA: Security+ Professional
CISA: Certified Information System Auditor
CISM: Certified Information System Manager
GIAC: Global Information Assurance Certification
CCNA: Cisco Certified Network Associate
CCSP: Cisco Certified Security Professional
MCP: Microsoft Certified System Professional
MCSA: Microsoft Certified System Associate
MCSE: Microsoft Certified System Engineer
CCSE: Check Point Certified Security Expert
CPP: Certified Protection Professional
CIA: Certified Internal Auditor
Cursos relacionados con la seguridad informática
Centro formativo: SEAS, estudios superiores abiertos
País: España
Modalidad: a distancia y on line
Los alumnos que superen el programa de estudios, tendrán derecho a la expedición de dos títulos:
-Título Propio de Diploma en Seguridad Informática por la universidad Católica de Ávila. -Técnico Especialista en Seguridad Informática por la Fundación San Valero, en el que La Universidad San Jorge ha verificado que los procedimientos educativos de SEAS siguen los criterios de calidad exigibles a la Enseñanza Superior.

Ensayo

instalacion del directirio activo (active directory)

Empezamos con la instalación del active directory de Windows con el comando dcpromo en ejecutar

Nos aparece el asistente de Windows y siguiente para empezar

Siguiente

Seleccionamos la opción controlador de dominio para un dominio nuevo ya que este será nuestro primer dominio

Seleccionamos la opción dominio en un nuevo bosque ya que este va a ser el primer bosque

Escribimos el nombre del dominio

Por defecto podemos dejar el nombre que nos asigna el sistema en el nombre netbios del dominio y siguiente

Podemos dejar las carpetas donde las guarda el sistema por defecto y siguiente

Siguiente también podemos dejar las carpetas en esta ruta

Seleccionamos la segunda opción instalar y configurar este equipo de manera que utilice este servidor dns como el preferido y siguiente

Seleccionamos la segunda opción permisos compatibles solo con sistemas operativos de servidor Windows 2000 o Windows Server 2003 y siguiente

Escribimos una contraseña igual ala del administrador para inicia sesión

Siguiente para iniciar la instalación

Instalación del active directory

Finalizar para confirmar la finalización de la instalación del active directory

Reiniciar ahora para que el equipo tome los cambios

instalacion de exchange

Luego de reiniciar el equipo vamos a agregar o quitar programas

Agregar o quitar componentes de Windows para instalar los componentes

Marcamos servidor de aplicaciones y detalles

Sin desmarcar las otras opciones marcamos ASP:NET y instalar Internet information services (IIS) y sobre (IIS) clic en detalles

Marcamos servicio nntp, servicio smtp, y servicio World Wide Web

Aceptar las ventanas y siguiente para instalar los componentes (necesitamos el cd)

Finalizar para confirmar la instalación de los componentes

Descargamos el service pack2 de Exchange 2003 en http://technet.microsoft.com/es-es/exchange/bb288486.aspx

Insertamos el cd de Exchange, seleccionamos herramientas de implementación de Exchange

Seleccionamos implementar el primer servidor de Exchange 2003

Seleccionamos nueva instalación de Exchange 2003

Los pasos del 1 al 5 son solo de comprobación del sistema, ejecutamos el numeral 6 ejecutar forestprep ahora

Nos aparece un asistente y siguiente para iniciar con el fin de extender el esquema de active directory para Exchange Server 2003

Acepto los términos de la licencia y siguiente

Siguiente

Dejamos esta cuenta por defecto y siguiente para iniciar la ejecución del numeral 6

Instalación numeral 6 ejecutar forestprep ahora, extiende el esquema de active directory para Exchange

Finalizar

Ejecutamos el numeral 7 ejecutar domainprep ahora

Nos aparece un asistente y siguiente para iniciar y preparar el dominio

Acepto los términos de la licencia y siguiente

Siguiente

Nos aparece un mensaje diciéndonos que el dominio no es seguro es porque el nivel funcional del bosque no está en modo nativo

Instalación del numeral 7 ejecutar domainprep ahora, preparación del dominio

Finalizar

Ejecutamos el numeral 8 ejecutar programa de instalación ahora

Nos aparece el asistente y siguiente para la instalación del programa ahora

Acepto los términos de la licencia y siguiente

Siguiente

Seleccionamos crear una nueva organización de Exchange y siguiente

Escribimos el nombre de la organización y siguiente

Acepto los términos del contrato de la licencia y siguiente

Siguiente para iniciar la instalación

Instalación del programa

Finalizar para confirmar la instalación de Exchange

Necesitamos actualizar el equipo en Windows update para ejecutar el service pack2 de Exchange

Comprobando si el equipo dispone de la versión más recienta del software de actualización

En la ventana advertencia de seguridad damos clic en si para confirmar que deseamos instalar y ejecutar Windows update

Clic en instalar ahora para obtener el software mas reciente

Seleccionamos obtener actualización rápida (recomendada)

Nos aparece un asistente y siguiente para iniciar

Aceptamos los términos de la licencia y siguiente

Siguiente

Instalación de las actualizaciones

Ahora creamos una carpeta donde descomprimir el service pack 2 de Exchange que hemos descargado, ejecutamos el fichero E3SP2ESP.EXE para descomprimirlo

Extrayendo archivos

Aceptar

Extrayendo archivos

Finalización de la extracción

Ahora ejecutamos el update.exe en la ruta \servicepack2\E3SP2ESP\setup\i386

Nos aparece un asistente y siguiente

Acepto los términos de la licencia y siguiente

Siguiente

Siguiente

Instalación de la actualización del service pack2 de Exchange

Finalizar

Ahora vamos al administrador del sistema de Exchange a cambiar el sistema a modo nativo

En el administrador del sistema clic derecho sobre la organización de Exchange y propiedades

Marcamos mostrar los grupos de enrutamiento y mostrar los grupos administrativos y clic en cambiar el modo

Si para cambiar de modo mixto a modo nativo

Y debe quedar asi

Ahora vamos al dns para crear un registro MX para el intercambio de correos entre servidores

Sobre el servidor clic derecho y propiedades

En la ficha reenviadores agregar el dns principal

Expandir el dominio, clic derecho y propiedades y seleccionar nuevo intercambio de correo (MX)

Escribir el nombre de equipo y clic sobre examinar

Buscamos en la zona directa el dominio

Y creamos el registro y aceptar

Vamos al administrador del sistema

Expandimos la carpeta servidores, primer grupo de enrutamiento y clic derecho en almacén de buzón y propiedades

Propiedades del almacén de buzón

En la ficha limites establecemos los limites en KB

Volvemos al administrador del sistema de Exchange 2003, expandimos destinatarios y clic derecho y propiedades en default policy (opcional)

En propiedades de políticas por defecto clic en nueva para crear una direcciones de correo electrónico (opcional)

Seleccionamos dirección SMTP

Escribimos la nueva dirección (dominio) empezando por @

La seleccionamos y la establecemos como la primaria y aceptar (opcional)

Si para establecer la dirección como primaria

En ejecutar ejecutamos le comando services.msc

Propiedades en Microsoft Exchange-POP3

En tipo de inicio automático

Y clic derecho e iniciar

Habilitamos Microsoft Exchange-IMAT4 y el NNTP siguiendo los 3 últimos pasos

En el administrador de sistema de Exchange, clic derecho en propiedades en conectores, nuevo, conector para SMTP.

Le colocamos el nombre que va a llevar el conector y clic en agregar

Seleccionamos el servidor y aceptar

En espacio de direcciones agregar

SMTP y aceptar

Aceptar

Aceptar

Ahora podemos iniciar un navegador y escribimos la siguiente dirección: http://localhost/exchange para acceder a la cuenta de correo del usuario

Este es el correo vía webmail