HACKERS

Piratas informáticos

Indice:

Introducción

2. ¿Qué tipos de piratas hay?

3. ¿Qué se necesita para hackear?

3.1 ¿Cómo de hackea?

3.2 Tipos de ataques

3.3 Ataques de hackers.

4. Seguridad en internet.

4.1 Es seguro el comercio electrónico

4.2 Certificados de identidad

4.3 La seguridad ha frenado el comercio.

5. Vocabulario.

6. Bibliografia.

1. Introducción

Los piratas ya no tienen un parche en su ojo ni un garfio en reemplazo de la mano. Tampoco existen los barcos ni los tesoros escondidos debajo del mar. Estando a principios del 2003, los piratas se presentan con un cerebro desarrollado, curioso y con muy pocas armas: una simple computadora y una línea telefónica.

Hackers, una palabra que empieza a estar en los diccionarios y que ya le suenan a las personas que alguna vez se interesaron por la informática o leyeron en algún diario.

Esta palbra proviene de "hack", el sonido que hacían los técnicos de las empresas telefónicas al golpear los aparatos para que funcionaran. Hoy es una palabra temida por empresarios, legisladores y autoridades que desean controlar a quienes se divierten descifrando claves para ingresar a lugares prohibidos y tener acceso a información indebida.

Sólo basta con repasar unas pocas estadísticas. Durante 1997, el 54 por ciento de las empresas norteamericanas sufrieron ataques de Hackers en sus sistemas. Las incursiones de los piratas informáticos, ocasionaron pérdidas totales de 137 millones de dólares en ese mismo año. El Pentágono, la CIA, UNICEF, la ONU y demás organismos mundiales han sido víctimas de intromisiones por parte de estas personas que tienen muchos conocimientos en la materia y también una gran capacidad para resolver los obstáculos que se les presentan. Un hacker puede tardar meses en vulnerar un sistema ya que son cada vez más sofisticados. Pero el lema es viejo: hecha la ley, hecha la trampa.

2. ¿Que tipos de piratas informáticos hay?

Los medios de comunicación masivos prefieren tildarlos de delincuentes que interceptan códigos de tarjetas de crédito y los utilizan para beneficio propio. También están los que se intrometen en los sistemas de aeropuertos produciendo un caos en los vuelos y en los horarios de los aviones. Pero he aquí la gran diferencia en cuestión.

Los crackers (crack=destruir) son aquellas personas que siempre buscan molestar a otros, piratear software protegido por leyes, destruir sistemas muy complejos mediante la transmisión de poderosos virus, etc. Esos son los crackers. Adolescentes inquietos que aprenden rápidamente este complejo oficio. Se diferencian con los Hackers porque no poseen ningún tipo de ideología cuando realizan sus "trabajos". En cambio, el principal objetivo de los Hackers no es convertirse en delincuentes sino "pelear contra un sistema injusto" utilizando como arma al propio sistema. Su guerra es silenciosa pero muy convincente.

La cultura popular define a los hackers como aquellos que, con ayuda de sus conocimientos informáticos consiguen acceder a los ordenadores de los bancos y de los negociados del gobierno. Bucean por información que no les pertenece, roban software caro y realizan transacciones de una cuenta bancaria a otra.

Los criminólogos, por otra parte, describen a los hackers en términos menos halagadores. Donn Parker los denomina "violadores electrónicos" y August Bequai los describe como "vándalos electrónicos". Ambos, aunque aseveran que las actividades de los hackers son ilegales, eluden hábilmente llamarlos "criminales informáticos". Hacen una clara distinción entre el hacker que realiza sus actividades por diversión y el empleado que de repente decide hacer algo malo. Por tanto, parece que tenemos una definición en la que caben dos extremos: por un lado, el moderno ladrón de bancos y por otro el inquieto. Ambas actividades (y todas las intermedias) son calificadas con el mismo termino. Difícilmente se podría considerar esto como un ejemplo de conceptualización precisa. Una gran parte de esta ambigüedad puede seguirse desde el origen durante estos aproximadamente 20 años de vida del mencionado termino.

El termino comenzó a usarse aplicándolo a un grupo de pioneros de la informática del MIT, a principios de la década de 1960. Desde entonces, y casi hasta finales de la década de 1970, un hacker era una persona obsesionada por conocer lo mas posible sobre los sistemas informáticos. Los diseñadores del ordenador Apple, Jobs y Wozniack, pueden considerarse hackers en este sentido de la palabra. Pero a principios de la década de 1980, influenciados por la difusión de la película Juegos de Guerra, y el ampliamente publicado arresto de una "banda de hackers" conocida como la 414, los hackers pasaron a ser considerados como chicos jóvenes capaces de violar sistemas informáticos de grandes empresas y del gobierno.

Desgraciadamente, los medios de información y la comunidad científica social no ha puesto mucho esfuerzo por variar esta definición. El problema para llegar a una definición mas precisa radica, tanto en la poca información que hay sobre sus actividades diarias, como en el hecho de que lo que se conoce de ellos no siempre cabe bajo las etiquetas de los delitos conocidos.

Es decir, no hay una definición legal que sea aplicable a los hackers, ni todas sus actividades conllevan la violación de las leyes. Esto lleva a que la aplicacion del termino varie segun los casos, dependiendo de los cargos que se puedan imputar y no a raíz de un claro entendimiento de lo que el termino significa. Este problema, y la falta de entendimiento de lo que significa ser un hacker, convierte a esta en una etiqueta excesivamente utilizada para aplicar a muchos tipos de intrusiones informáticas.

Parker y Bequai, dos lideres en el estudio de los delitos informáticos, utilizan el termino "hacker" de formas ligeramente diferentes. Parker reconoce que hacking no abarca todo el rango de actividades asociadas a la violación de los sistemas informáticos, pero lo prefiere al termino "phreaking", que considera muy oscuro.

Por otra parte, Bequai no rechaza el termino "phreaking" y a menudo lo aplica a hechos que Parker califica como de hacker. Bequai confunde aun mas el termino al definir al hacker como alguien que utiliza ilegalmente las tarjetas de crédito telefónico para acceder a sistemas que distribuyen software comercial ilegalmente. Podemos decir que estas actividades tienen poco que ver con las actuaciones propias de los hackers, pero es ilustrativa de otros tipos de actividades informáticas inusuales.

Los términos, "hacker", "phreaker" y "pirata" se presentan y definen tal y como los entienden aquellos que se identifican con estos papeles.

3.¿QUE SE NECESITA PARA HACKEAR?

La mayoria de las personas piensa que un hacker necesita caros equipos informaticos y estanterias llenas de manuales técnicos, pero la respuesta es NO!

Hackear puede ser sorprendentemente fácil, mejor todavía, si se sabe cómo explorar el World Wide Web, se puede encontrar casi cualquier información relacionada totalmente gratis.

De hecho, hackear es tan fácil que si se tiene un servicio on-line y se sabe cómo enviar y leer un e-mail, se puede comenzar a hackear inmediatamente.

3.1 ¿COMO SE HACKEA?

Aqui no vamos a poner una manual de hackeo pero los pasos generales para hackear son:

1.Introducirse en el sistema que tengamos como objetivo.

2.Una vez conseguido el acceso, obtener privilegios de root

(superusuario).

3.Borrar las huellas.

4.Poner un sniffer para conseguir logins de otras personas.

En los primeros años, los ataques involucraban poca sofisticación técnica. Los insiders (empleados disconformes o personas externas con acceso a sistemas dentro de la empresa) utilizaban sus permisos para alterar archivos o registros. Los outsiders (personas que atacan desde afuera de la ubicación física de la organización) ingresaban a la red simplemente averiguando una password válida.

A través de los años se han desarrollado formas cada vez más sofisticadas de ataque para explotar "agujeros" en el diseño, configuración y operación de los sistemas. Esto permitó a los nuevos atacantes tomar control de sistemas completos, produciendo verdaderos desastres que en muchos casos llevo a la desaparición de aquellas organizaciones o empresas con altísimo grado de dependencia tecnológica (bancos, servicios automatizados, etc).

Estos nuevos métodos de ataque han sido automatizados, por lo que en muchos casos sólo se necesita conocimiento técnico básico para realizarlos. El aprendiz de intruso tiene acceso ahora a numerosos programas y scripts de numerosos "hacker" bulletin boards y páguinas web sites, donde además encuentra todas las instrucciones para ejecutar ataques con las herramientas disponibles.

3.2 TIPOS DE ATAQUES

Los métodos de ataque descritos a continuación están divididos en categorías generales que pueden estar relacionadas entre sí, ya que el uso de un método en una categoría permite el uso de otros métodos en otras. Por ejemplo: después de crackear un password, un intruso realiza un login como usuario legítimo para navegar entre los archivos y explotar vulnerabilidades del sistema. Eventualmente también, el atacante puede adquirir derechos a lugares que le permitan dejar un virus u otras bombas lógicas para paralizar todo un sistema antes de huir.

EAVESDROPPING Y PACKET SNIFFING

Muchas redes son vulnerables al eavesdropping, o la pasiva intercepción (sin modificación) del tráfico de red. En Internet esto es realizado por packet sniffers, que son programas que monitorean los paquetes de red que están direccionados a la computadora donde están instalados. El sniffer puede ser colocado tanto en una estación de trabajo conectada a red, como a un equipo router o a un gateway de Internet, y esto puede ser realizado por un usuario con legítimo acceso, o por un intruso que ha ingresado por otras vías.

Existen kits disponibles para facilitar su instalación.

Este método es muy utilizado para capturar logins, IP`s y passwords de usuarios, que generalmente viajan claros (sin encriptar) al ingresar a sistemas de acceso remoto (RAS). También son utilizados para capturar números de tarjetas de crédito y direcciones de e-mail entrantes y salientes. El análisis de tráfico puede ser utilizado también para determinar relaciones entre organizaciones e individuos.

SNOOPING Y DOWNLOADING

Los ataques de esta categoría tienen el mismo objetivo que el sniffing, obtener la información sin modificarla. Sin embargo los métodos son diferentes. Además de interceptar el tráfico de red, el atacante ingresa a los documentos, mensajes de e-mail y otra información guardada, realizando en la mayoría de los casos un downloading de esa información a su propia computadora.

El Snooping puede ser realizado por simple curiosidad, pero también es realizado con fines de espionaje y robo de información o software. Los casos mas resonantes de este tipo de ataques fueron : el robo de un archivo con mas de 1700 números de tarjetas de crédito desde una compañía de música

mundialmente famosa, y la difusión ilegal de reportes oficiales reservados de las Naciones Unidas, acerca de la violación de derechos humanos en algunos países europeos en estado de guerra.

TAMPERING O DATA DIDDLING

Esta categoría se refiere a la modificación desautorizada a los datos, o al software instalado en un sistema, incluyendo borrado de archivos. Este tipo de ataques son particularmente serios cuando el que lo realiza ha obtenido derechos de administrador o supervisor, con la capacidad de disparar cualquier comando y poder alterar o borrar cualquier información que puede incluso terminar en la baja total del sistema en forma deliberada. O aún si no hubo intenciones de ello, el administrador posiblemente necesite dar de baja por horas o días hasta chequear y tratar de recuperar aquella información que ha sido alterada o borrada.

Como siempre, esto puede ser realizado por insiders o outsiders, generalmente con el propósito de fraude o dejar fuera de servicio un competidor.

Son innumerables los casos de este tipo como empleados (o externos) bancarios que crean falsas cuentas para derivar fondos de otras cuentas, estudiantes que modifican calificaciones de exámenes, o contribuyentes que pagan para que se les anule la deuda por impuestos en el sistema municipal.

Múltiples web sites han sido víctimas del cambio de sus home page por imágenes terroristas o humorísticas, o el reemplazo de versiones de software para download por otros con el mismo nombre pero que incorporan código malicioso (virus, troyanos).

La utilización de programas troyanos esta dentro de esta categoría, y refiere a falsas versiones de un software con el objetivo de averiguar información, borrar archivos y hasta tomar control remoto de una computadora a través de Internet.

SPOOFING

Esta técnica es utilizada para actuar en nombre de otros usuarios, usualmente para realizar tareas de snoofing o tampering. Una forma común de spoofing, es conseguir el nombre y password de un usuario legítimo para, una vez ingresado al sistema, tomar acciones en nombre de él, como puede ser el envío de falsos e-mails.

El intruso usualmente utiliza un sistema para obtener información e ingresar en otro, y luego utiliza este para entrar en otro, y en otro. Este proceso, llamado Looping, tiene la finalidad de evaporar la identificación y la ubicación del atacante. El camino tomado desde el origen hasta el destino puede tener

muchas estaciones, que exceden obviamente los límites de un país. Otra consecuencia del looping es que una compañía o gobierno pueden suponer que están siendo atacados por un competidor o una agencia de gobierno extranjera, cuando en realidad estan seguramente siendo atacado por un insider, o por un estudiante a miles de Km. de distancia, pero que ha tomado la identidad de otros.

El looping hace su investigación casi imposible, ya que el investigador debe contar con la colaboración de cada administrador de cada red utilizada en la ruta, que pueden ser de distintas jurisdicciones.

Los protocolos de red también son vulnerables al spoofing. Con el IP spoofing, el atacante genera paquetes de Internet con una dirección de red falsa en el campo From, pero que es aceptada por el destinatario del paquete.

El envío de falsos e-mails es otra forma de spoofing permitida por las redes. Aquí el atacante envía a nombre de otra persona e-mails con otros objetivos. Tal fue el caso de una universidad en USA que en 1998 debió reprogramar una fecha completa de exámenes ya que alguien en nombre de la secretaría había cancelado la fecha verdadera y enviado el mensaje a toda la

nómina (163 estudiantes).

JAMMING o FLOODING

Este tipo de ataques desactivan o saturan los recursos del sistema. Por ejemplo, un atacante puede consumir toda la memoria o espacio en disco disponible, así como enviar tanto tráfico a la red que nadie más puede utilizarla.

Muchos ISPs (proveedores de Internet) han sufrido bajas temporales del servicio por ataques que explotan el protocolo TCP. Aquí el atacante satura el sistema con mensajes que requieren establecer conexión. Sin embargo, en vez de proveer la dirección IP del emisor, el mensaje contiene falsas direcciones IP (o sea que este ataque involucra también spoofing). El sistema responde al mensaje, pero como no recibe respuesta, acumula buffers con información de las conecciones abiertas, no dejando lugar a las conexiones legítimas.

Muchos host de Internet han sido dados de baja por el "ping de la muerte", una versión-trampa del comando ping. Mientras que el ping normal simplemente verifica si un sistema esta enlazado a la red, el ping de la muerte causa el reboot o el apagado instantáneo del equipo.

Otra acción común es la de enviar millares de e-mails sin sentido a todos los usuarios posibles en forma continua, saturando los distintos servers destino.

 

CABALLOS DE TROYA

Consiste en introducir dentro de un programa una rutina o conjunto de instrucciones, por supuesto no autorizadas y que la persona que lo ejecuta no conoce, para que dicho programa actúe de una forma diferente a como estaba previsto (P.ej. Formatear el disco duro, modificar un fichero, sacar un mensaje, etc.).

 

BOMBAS LOGICAS

Este suele ser el procedimiento de sabotaje mas comúnmente utilizado por empleados descontentos. Consiste en introducir un programa o rutina que en una fecha determinada destruirá, modificara la información o provocara el cuelgue del sistema.

 

INGENIERA SOCIAL

Básicamente convencer a la gente de que haga lo que en realidad no debería. Por ejemplo llamar a un usuario haciéndose pasar por administrador del sistema y requerirle la password con alguna excusa convincente. Esto es común cuando en el Centro de Computo los administradores son amigos o conocidos.

DIFUSION DE VIRUS

Si bien es un ataque de tipo tampering, difiere de este porque puede ser ingresado al sistema por un dispositivo externo (diskettes) o través de la red (e-mails u otros protocolos) sin intervención directa del atacante. Dado que el virus tiene como característica propia su autoreproducción, no necesita de mucha ayuda para propagarse a traves de una LAN o WAN rápidamente, si es que no esta instalada una protección antivirus en los servidores, estaciones de trabajo, y

los servidores de e-mail.

Existen distintos tipos de virus, como aquellos que infectan archivos ejecutables (.exe, .com, .bat, etc) y los sectores de boot-particion de discos y diskettes, pero aquellos que causan en estos tiempos mas problemas son los macro-virus, que están ocultos en simples documentos o planilla de cálculo, aplicaciones que utiliza cualquier usuario de PC, y cuya difusión se potencia con la posibilidad de su transmisión de un continente a otro a través de cualquier red o Internet. Y además son multiplataforma, es decir, no están atados a un sistema operativo en particular, ya que un documento de MS-Word puede ser procesado tanto en un equipo Windows 3.x/95/98 , como en una Macintosh u otras.

Cientos de virus son descubiertos mes a mes, y técnicas más complejas se desarrollan a una velocidad muy importante a medida que el avance tecnológico permite la creación de nuevas puertas de entrada. Por eso es indispensable contar con una herramienta antivirus actualizada y que pueda responder rápidamente ante cada nueva amenaza.

El ataque de virus es el más común para la mayoría de las empresas, ya que en un gran porcentaje responden afirmativamente cuando se les pregunta si han sido víctimas de algún virus en los últimos 5 años.

OBTENCIÓN DE PASSWORDS, CÓDIGOS Y CLAVES

Este método (usualmente denominado cracking), comprende la obtención "por fuerza bruta" de aquellas claves que permiten ingresar a servidores, aplicaciones, cuentas, etc. Muchos passwords de acceso son obtenidos fácilmente porque involucran el nombre u otro dato familiar del usuario, que además nunca lo cambia. En esta caso el ataque se simplifica e involucra algún tiempo de prueba y error. Otras veces se realizan ataques sistemáticos (incluso con varias computadoras a la vez) con la ayuda de programas especiales y "diccionarios" que prueban millones de posibles claves hasta encontrar el password correcto. Es muy frecuente crackear un password explotando agujeros en los algoritmos de encriptación utilizados, o en la administracion de las claves por parte la empresa.

Por ser el uso de passwords la herramienta de seguridad mas cercana a los usuarios, es aquí donde hay que poner énfasis en la parte "humana" con políticas claras (como se define un password?, a quien se esta autorizado a revelarla?) y una administración eficiente (cada cuanto se están cambiando?)
No muchas organizaciones están exentas de mostrar passwords escritos y pegados en la base del monitor de sus usuarios, u obtenerlos simplemente preguntando al responsable de cualquier PC, cual es su password?.

3.3 ATAQUES DE HACKERS

En 1996, la página Web de Kriesgman ( http://www.kriesgam.com/ ), una de las principales fábricas de pieles de Estados Unidos fue hackeada por unos chicos que pusieron carteles y frases en defensa del animal y la ecología.

También en noviembre de 1996 fue asaltada la página de la Agencia Central de Inteligencia de los EE.UU (CIA) ( http://www.odci.gov/cia ) y en su lugar ubicaron la frase "Welcome to the Central Stupidity Agency".

Las famosas cantantes inglesas de Spice Gilrs (http://www.spicegirls.com/) tampoco salieron indemnes de esta cruzada ideológica cuando en 1997 fue modificado su site para protestar contra "la cultura pop y el uso masivo de Internet".

La primera dama estadounidense, Hillary Clinton, ahora senadora en Nueva York, como parte de su campaña en aquel entonces, su equipo creó un sitio web (http://www.hillary2000.com), que fue asaltado por piratas informáticos.

La intervención realizada por los hackers fue relativamente leve, ya que sólo implicó un redireccionamiento del URL, que hizo que quienes intentaran acceder al sitio web de la candidata fuesen llevados a una página web creada por "Los Amigos de Guiliani" también candidato a una senaturía por Nueva York.

Jerry Irvine, experto consultado por CNN, señaló que lo más probable es que los hackers hayan recurrido a un truco conocido como DNS poisoning; es decir un "envenenamiento" del sistema de nombres de dominios, haciendo que al escribir una dirección en la web los usuarios sean llevados a una dirección distinta.

Un ataque "hacker" obliga a cerrar momentáneamente el web del Gobierno español

Presidencia del Gobierno se ha visto obligada a cerrar durante aproximadamente una hora su web oficial ,tras el ataque de un grupo de "hackers", autodenominado "Alianze". La Moncloa ha restablecido la página tras corregir las modificaciones que hicieron los intrusos esta madrugada.

Los hackers bloquearon sus contenidos y sustituyeron los textos por un escrito crítico, y la imagen del presidente del Gobierno fue modificada. La policía ha abierto una investigación, tras la denuncia interpuesta desde La Moncloa, ya que este tipo de manipulaciones son constitutivas de delito.

El grupo explicaba textualmente que su acción tenía como fin criticar al Gobierno.Bajo la foto de Aznar, se podía leer este texto: "este es el tipo que nos jode con lo de que españa va bien, PUES NO VA BIEN!!

ATAQUE HACKER AL FORUM ECONOMICO MUNDIAL [05-02-01]

Activistas antiglobalización consiguen entrar en el sistema informático de la cumbre de Davos y roban datos personales de la mayoría de participantes. Bill Gates, Bill Clinton, Kofi Anan y Shimon Peres figuran entre los afectados.

El ataque hacker fue sacado a la luz por el periódico suizo SonntagsZeitung. El rotativo afirma haber recibido un cd anónimo con un archivo de 161 MB que contiene datos personales como e-mail, teléfono personal, e incluso 1400 números de VISA, de los 27.000 participantes en el Foro Económico Mundial que se celebra de forma anual en Davos, Suiza.

 

HACKERS CONTROLAN SATÉLITE MILITAR BRITÁNICO.

El 02 de marzo de 1999 un satélite militar de comunicaciones estába siendo controlado por piratas informáticos. El satélite es para la defensa de Gran Bretaña en caso de un ataque nuclear.

Según el diario inglés Sunday Business, “desconocidos alteraron el rumbo del satélite hace dos semanas, luego de lo cual las autoridades responsables recibieron una extorsión según la cual los hackers dejarían en paz el satélite a cambio de una fuerte suma de dinero en efectivo.

Expertos en seguridad y estrategas militares toman en serio la amenaza, recalcando que sería muy natural que enemigos interesados en atacar a Gran Bretaña con armas atómicas primero intentasen dejar fuera de servicio a los sistemas de comunicación“.

Una fuente militar consultada por Sunday Business destacó el grave riesgo para la seguridad del país que implica que desconocidos logren apoderarse del control de un satélite. El hecho de que se trate de una extorsión agrava aún más las cosas, señaló.

Por el momento, tanto la policía británica como el Ministerio de Defensa se niegan a comentar los hechos.

4. Seguridad en internet

La seguridad es uno de los aspectos más conflictivos del uso de Internet. La falta de una política de seguridad global está frenando el desarrollo de Internet en áreas tan interesantes y prometedoras como el comercio electrónico o la interacción con las administraciones públicas, por ello es importante crear un entorno seguro.

Las técnicas criptográficas actuales proporcionan un alto grado de confidencialidad; pero es durante la transferencia de información donde más peligro de seguridad existe. En un servidor mas seguro es donde mejor se preserva la intimidad y confidencialidad de sus clientes y donde se dan los mayores servicios de seguridad. La seguridad tiene connotaciones legales que no siempre se respetan.

El surgimiento de la mayor red de información existente fue un gran logro para la tecnología. Y es que Internet no sólo sirve para encontrar cualquier cosa en la que se nos ocurra pensar, sino que es una de las más útiles herramientas para, desde un punto, poder hacer todo tipo de intercambios con el globo. Desde finanzas hasta chats en busca de parejas...

Pero con todas estas ventajas existen innumerables desventajas, de las que tenemos que estar concientes al momento de utilizar Internet, sabiendo que no conocemos a quien pueda estar detrás de la otra máquina. Considerando esto seriamente es necesario saber a qué tipos de riesgos nos enfrentamos al abrir nuestra máquina a todo el mundo.

Los riesgos son numerosos y ponen en peligro, desde la integridad de nuestro equipo de cómputo hasta la integridad de nosotros mismos. Para evitar estos peligros es necesario tomar un número de medidas que nos prevengan de sufrir algún contratiempo por el hecho de usar Internet.

Uno de los principales riesgos que sufrimos día con día es el hecho de que nuestra computadora se vea infectada por algún tipo de virus enviado por un e-mail. Estos correos son muy frecuentes y, en ocasiones pueden resultar fatales para nuestra computadora. La principal medida que debemos considerar es tener un antivirus pues nuestra máquina está expuesta a contraer un virus aún cuando ni siquiera tenga acceso a Internet. Otra cosa muy importante es actualizar el antivirus dado que todos los días surgen nuevos virus y el antivirus debe ser capaz de enfrentar a todos. Otro punto muy importante se refiera a nosotros mismos que debemos estar pendientes sobre toda la información nueva acerca de virus para procurar no vernos infectados por un virus nuevo. Finalmente, es muy importante que nunca abramos mails cuya procedencia no conocemos por que así como podemos encontrar un mail de propaganda o uno de pornografía, también podemos abrir un mail con un virus que infecte nuestra máquina.

4.1. Es seguro el comercio electrónico

Uno de los temas que es inevitable comentar en la actualidad al hablar de Internet, y de la posibilidad de realizar negocios en la red , es el tema de la seguridad. El conocimiento popular indica que la Internet es "insegura", pero se ha dado poca o ninguna explicación de porqué.

Primero que todo, es importante explicar cuáles son los aspectos de seguridad que es necesario considerar cuando se ingresa al mundo "virtual" de la Internet.

Hoy, cuando una persona desea comprar algo, supongamos un libro, se dirige a la librería, selecciona el volumen que va a adquirir, y lo presenta al empleado de la librería junto con su tarjeta de crédito.

El empleado de la librería llama a la compañía que emite la tarjeta de crédito y solicita la autorización de la compra. En caso extremo, puede solicitar al cliente una identificación con fotografía.

Si todo esta en orden, la compra es permitida, se otorga un número de autorización y listo. La persona vuelve a su casa con el libro bajo el brazo y, al final del mes, recibe el estado de cuenta con un cargo correspondiente.

Un hecho comúnmente olvidado pot los detractores de Internet es que el uso de una tarjeta de crédito en una compra "tradicional" implica en ocasiones un riesgo, ya que el empleado de la librería, en este caso, el restaurante u otro comercio en otros casos, puede anotar nuestro nombre, número de tarjeta de crédito y fecha de expiración de la misma, copiándolo del "voucher", una vez que hemos abandonado el establecimiento.

Examinemos ahora que implica la realización de la misma operación, pero a través de Internet:

La persona que desea comprar el libro se dirige a una libreria "virtual" en Internet. Se conecta al sitio Web de la misma y examina la lista de títulos disponibles hasta encontrar la descripción del que desea.

Problema 1:¿Cómo puede el comprador en potencia estar seguro de que el sitio Web que aparece en su pantalla es realmente el de la empresa que busca, y no un sitio Web que está "suplantando" al verdadero? En la vida diaria, este problema no existe porque el comprador potencial se dirige a la librería que está ubicada en un edificio específico y entra en ella. No hay duda entonces en dónde ésta el comprador.

Una vez seleccionado el título, ordena la compra y al mismo tiempo envía a través de Internet su número de tarjeta de crédito y la fecha de expiración.

Problema 2: ¿Cómo puede la librería estar segura de que la persona es verdaderamente quien dice ser y no alguien que se está haciendo pasar por una persona honrada a través de la Internet? En la vida diaria, esta verificación se realiza al comparar la firma que el comprador escribe en el "voucher" con la firma en el dorso en la tarjeta de crédito.

Problema 3: ¿Cómo pude el comprador enviar su información a través de Internet sin correr el riesgo de que alguien esté "interviniendo" las líneas de comunicación y registre su nombre, número de tarjeta de crédito y fecha de expiración, para usarlos más tarde a fin de cometer fraude?

La orden es recibida por la librería, la cual debe solicitar a la compañía que emite la tarjeta de crédito la autorización para la compra. Si todo está en orden, la compra es permitida, se otorga un número de autorización y listo.

El libro es enviado por correo o mensajería al comprador.

En la actualidad, solo el problema 3 tiene algún tipo de solución más o menos extendida en Internet, y aún en estos casos, limitada.

El problema 2 ha recibido una solución parcial, aplicable sólo en el caso de sitios Web que cobran al usuario por el acceso al contenido, es decir, a la información disponible en el mismo.

Esta solución radica en solicitar al usuario que seleccione una clave o password al momento de registrarse por primera vez.

El incoveniente de esta opción radica en que si el usuario desea utilizar los servicios de diferentes sitios Web necesita recordar un password diferente para cada uno.

Este mismo problema tiene una solución práctica: a partir del momento en el que el comerciante recibe el pedido electrónico hasta que entrega el libro en el domicilio del cliente habrá tiempo suficiente para descubrir el fraude, si lo hubiese.

Por lo que se refiere al problema 3, la solución en uso actualmente radica en codificar la información transmitida por el usuario al sitio Web del comerciante.

Este proceso , que utiliza un estándar de codificación de información conocido como SSL , impide a cualquier persona ajena al cliente y al comerciante conocer los datos transmitidos.

SSL es un sistema de codificación basado en estándar conocido como DES (Data Encryption System), desarrollado por el gobierno de Estados Unidos para permitir la comunicación segura entre organismos gubernamentales, y por lo tanto sujeto a grandes restricciones de exportación.

Esto soluciona el problema pero deja dos puntos descubiertos. El comerciante de todas maneras obtiene y almacena en su computadora el nombre, número de tarjeta de crédito y fecha de expiración del cliente.

Esto significa que las compañías que fabrican productos para Internet como visores y servidores Web que utilizan esta tecnología, no tienen autorización para venderlos fuera de Estados Unidos y Canadá, a menos de que se utilice una versión "limitada" de dicho esquema. Es decir, una versión cuyo código es más fácil de "romper" si se cuenta con el poder de cómputo y conocimiento matemático adecuados.

4.2. Certificados de Identidad

Microsoft Corp., trabajando en conjunto con una serie de compañías interesadas a dar una solución a este caso, como es el caso de Visa y MasterCard, ha propuesto varias iniciativas a través del Microsoft Internet Security Framework (MSIF).

Este sistema contiene una serie de estándares que permitirán a las compañías desarrolladoras de software dar respuesta en sus productos a los problemas mencionados.

Aquí solo mencionamos aquellos componentes de MSIF más relevantes.

Primero, con miras a solucionar los problemas 1 y 2, MSIF propone la utilización de "certificados" de identidad electrónicos.

Esto quiere decir que cada usuario y cada sitio Web en Internet tendrán un identificador electrónico único, extremadamente difícil de copiar, que les permitirá garantizar su identidad en la red.

Los certificados son expedidos por una compaía que actúa como autoridad de certificación de identidad llamada Verisign.

El certificado es proporcionado por la compaía y registrado por el visor de Internet por el usuario.

A partir de ese momento, cuando el cliente se conecte a un sitio Web, este le pedirá el certificado, verificará su autenticidad y permitirá entonces el acceso a los servicios disponibles.

Por su parte, el visor del cliente solicitará al sitio Web su propio certificado y lo verificará , para dar garantía al usuario de que efectivamente se trata del sito Web que buscaba.

El componente de MISF que da solución al problema 3, aún está en proceso de definición en comité de estándares, en el que además de Microsoft están incluído Visa, Master Card y otras compaías desarrolladoras de tecnología.

El estándar es conocido como "Secure Electronic Transaction", el cual permite la codificación de un número ilimitado de datos, como el número de tarjeta de crédito y fecha de expiración para su transmisión al comerciante.

El comerciante recibe los datos y los transmite electrónicamente a al compañía que expide la tarjeta de crédito o que actúa como intermediaria entre el comerciante y el banco o companía de tarjetas de crédito y, si todo está bien, obtiene la autorización de la operación.

Este esquema presenta dos ventajas enormes. Por una parte, el comerciante retransmite los datos codificados. Si todo está en orden, el comerciante recibirá la autorización de la operación y podrá entonces expedir los bienes, pero nunca conocerá el número de tarjeta de crédito ni fecha de expiración de la misma. Tan sólo sabrá que la operación fue autorizada y los datos necesarios para entregar el bien o servicio al cliente.

SET sólo codifica la información indispensable, a diferencia de SSL que codifica toda la información transmitida, cualquier cosa, sea texto o gráficos.

No sólo se usa para operaciones comerciales como el caso que aquí hemos descrito, sino para prácticamente cualquier aplicación que transmita, desde una letra hasta planos y planes completos para una operacion terrorista, lo cual es precisamente la razón por la que su exportación está restringida en Estados Unidos.

Siendo SET algo tan específico, sólo para operaciones de tarjetas de crédito, es más probable el que el gobierno estadounidense autorice la exportación de productos con esta funcionalidad, sin restricciones.

4.3 Seguridad ha frenado el Comercio Electónico

Uno de los principales factores que han frenado el crecimiento masivo del comercio electrónico a través de Internet es la preocupación de los usuarios por la seguridad en las transacciones comerciales, tanto en lo que se refiere a la información que deben proporcionar para efectuar el pago como a la autenticidad en la identidad de la empresa a la que la proporcionaran.

Si bien es muy simple afirmar que esta preocupación es irracional y que utilizar la tarjeta de crédito para efectuar compras en línea es tan seguro como entregarla en cualquier establecimiento comercial para el pago de una compra o consumo tradicional, existen sistemas, protocolos y procedimientos que permiten obtener un nivel de seguridad suficiente para que enviar por Internet el número de la tarjeta sea mucho mas confiable que dictarlo por teléfono, dejar firmado en blanco un pagaré bancario que garantice el pago de servicios antes de ocuparlos o entregar a un mesero la tarjeta para liquidar un consumo de bebidas y alimentos.

Los sistemas de comercio electrónico seguro más utilizados actualmente están basados en SSL, Secure Socket Layer, protocolo desarrollado por Netscape que encripta los datos, codificándolos antes de enviarlos y decodificandolos al llegar a su destino. Al conectarse a un web site que utiliza SSL, si el browser está habilitado para soportarlo, se establece un canal de comunicación seguro a través del cual toda la información se transmitirá de manera codificada: aunque alguien interceptara la transmisión necesitaría tener la clave que se requiere para descifrarla, pero ésta únicamente está al alcance del browser y del servidor que se están comunicando. En la actualidad este protocolo está soportado por los navegadores de mayor uso alrededor del mundo: Netscape y Explorer, en sus versiones 3 y 4.

A fin de garantizar su autenticidad a sus visitantes, además de utilizar un servidor capaz de soportar este protocolo de seguridad, las tiendas virtuales establecidas por empresas serias y responsables obtienen un certificado otorgado por alguna de las instituciones que han obtenido el reconocimiento internacional por su dedicación y compromiso con el desarrollo de tecnologías de seguridad y comercio electrónico.

Estos certificados incluyen un código que los browsers capaces de soportar esta tecnología pueden descifrar. Y, aunque la forma en que los usuarios podrán identificar cuando se encuentren en un ambiente seguro depende del navegador que utilicen, si se ha consultado de antemano la información proporcionada al respecto por el fabricante, sabrán entender las notificaciones que recibirán cuando estén conectándose a un sitio que se encuentra certificado y que toda su comunicación con él será encriptada.

La seguridad en el manejo de datos confidenciales y en la realización de transacciones comerciales depende en gran medida de las precauciones que tomen los usuarios antes de efectuarlas. Así como no entregaríamos nuestra tarjeta de crédito a quien nos vende un artículo en la calle o a quien se presenta en la puerta de la casa como representante de una empresa de la que jamás hemos oído hablar, sería irracional proporcionar estos datos a personas o empresas que no parecen preocuparse por construir un ambiente seguro, por garantizar su autenticidad y proporcionarnos todos los datos e información necesarios para que los consideremos lo suficientemente confiables.

5. VOCABULARIO TÉCNICO.

-Administrador: Persona que se encarga de todas las tareas de mantenimiento de un sistema informático.

-Backdoor: Puerta de entrada trasera a una computadora, programa o sistema en general. Sirve para acceder sin usar un procedimiento normal

-Bajar o Download: Extraer un programa de un BBS vía módem.

-Black Box: Aparato que engaña a la central telefónica haciéndole creer que no se levantó el teléfono cuando en realidad se está produciendo una comunicación

-Blue Box: Aparato (o programa de computadora) que emite tonos multifrecuencias que permite controlar las centrales telefónicas. Se utiliza para lograr comunicaciones gratuitas, entre otras cosas.

-Boxes: Circuitos preparados para realizar phreaking. Destacan:

• Bluebox => Para llamar gratis

• Redbox ==> Emula la introducción de monedas en teléfonos públicos

• Blackbox => El que llame a un teléfono con este dispositivo no pagará la llamada.

-Bug: Un error en un programa o en un equipo. Se habla de bug si es un error de diseño, no cuando la falla es provocada por otra cosa.

-Bustear: Precinto o incubación de un BBS por parte de la policía.

-Calling Card: Tarjeta de crédito emitida por una compañía telefónica que permite hacer llamadas y pagarlas después.

-Carding: Uso de tarjetas de crédito de otras personas, generación de nuevas tarjetas de crédito para realizar pagos a sistemas de compra a distancia (principalmente). En general, cualquier actividad fraudulenta que tenga que ver con las tarjetas de crédito.

-Crack: Desprotección de un juego o programa.

-Cracking: Modificar un programa para obtener beneficios. Normalmente se basa en quitar pantallas introductorias, protecciones o, como en unas modificaciones de cierto programa de comunicaciones, conseguir nuevos passwords de acceso a sistemas...

-Cortafuegos (Firewall): Computadora que registra todos los paquetes de información que entran en una compañía para, una vez verificados, derivarlos a otra que tiene conexión interna y no recibe archivos que no provengan de aquella. Es como un embudo que mira si la información que desea entrar a un servidor tiene permiso para ello o no. Los hackers deben contar con gran creatividad para entrar ya sea buscando un bug (error de diseño) o mediante algún programa que le permita encontrar alguna clave válida.

-Cyberpunk: Corriente literaria dentro de la ciencia-ficción que, entre otras cosas, se destaca por incorporar a sus argumentos el uso de la tecnología de las redes de computadoras.

-Dial-up: Línea de datos que permite a un usuario acceder por módem a una red o a una computadora. 

-Facke: Todas aquellas versiones de programas que han sido manipuladas de tal manera que figuran como versiones superiores a la original sin serlo.

-Guest: Cuenta pública de un sistema, para que la use alguien que no tiene cuenta propia.

-Gusano: Programa que se reproduce, sin infectar a otros en el intento.

-Group: Grupos de personas que unen sus fuerzas para `suplier' juegos o programas.

-Hacking: Acto de hackear. Básicamente consiste en entrar de forma ilegal en un sistema, para obtener información. No conlleva la destrucción de datos ni la instalación de virus, pero pueden instalarse troyanos que proporcionen passwords nuevos. También consiste en llevar una vida acorde con el hackmode.

-Hackmode: Modo de actuar del hacker. No tiene por qué estar relacionado con las computadoras, es más bien un modo de interpretar la vida. Consiste en:

• No pagar lo que no es estrictamente necesario o pagar de forma "poco corriente".

• Ser un poco "paranoico".

• Actuar acorde con costumbres rigurosamente calculadas.

-Handle: Seudónimo usado en vez del nombre verdadero.

-Ingeniería social: Arte de convencer a la gente de entregar información que no corresponde.

-Lamer: Tonto, persona con pocos conocimientos. Principiante

-Login: Procedimiento de identificarse frente a un sistema para luego usarlo. Este identificativo más el

password o clave te permite acceder a información restringida.

-Loops: Circuitos. Un loop ( o bucle) de teléfonos son dos teléfonos que se comunican entre sí.

-Operador: Persona que usa una computadora. A menudo se llama 'operador' al administrador del sistema.

-Nukear: Anular un programa de un BBS recién `subido', por ser antiguo y carecer de interés.

-Outdial: Modem de salida dentro de una misma red, que permite a un usuario de la misma salir a la red telefónica convencional. Los que permiten hacer llamadas a larga distancia se llaman 'global Outdial' (Outdial globales) o GOD.

-Packet switching: Conmutación de paquetes.

-Password: Clave. Palabra que sirve para verificar que un usuario es realmente quien dice ser. Por eso mismo, el único que debe conocerla es ese mismo usuario.

-PBX: Private Branch Exchange. Centrales telefónicas internas de empresas

-Patch o Parche: Modificación de un programa ejecutable para solucionar un problema o para cambiar su comportamiento.

-Petar: Anular. Este término se utiliza en el supuesto de que los sistemas utilizados para `tracear' de un BBS, se hayan anulado o caducado.

-Payload: Efecto visible de un software maligno.

-Phreaking: Acto de llamar por teléfono gratuitamente y la realización de modificaciones a los aparatos telefónicos con el fin de obtener algún tipo de beneficio.

-Subir o Upload: Enviar un programa a un BBS vía módem.

-Tracear: Seguimiento exhaustivo. Se utiliza cuando se intenta desproteger un programa y se tiene instalado un Debugger. Este término también es utilizado en caso de que la línea telefónica esté pinchada por la policía.

-Trader: Persona que `sube' y `baja' continuamente programas y juegos de BBS.

-Virii: Suele encontrarse en textos en inglés. Es la acción de crear virus.

-Warez: Programas comerciales ofrecidos gratuitamente. Lo que se conoce popularmente como "pirateo".

Bibliografia.

• Internet

• Suplemento El país.

• Suplemento El Periodico.

• Revistas PC- Actual

• Revistas PC- Word