La seguridad de los servidores web en banca y administraciones públicas

La seguridad de los servidores web en banca y administraciones públicas 8 febrero, 2011

Posted by Gregorio García in Julián Inza, Radio, Seguridad.
Tags: Administración Electrónica, Banca Electrónica, Certificados de servidor, Comercio Electrónico, Curvas elípticas, EADTrust, Grupo Interactiva, Julián Inza, La seguridad de los servidores web en banca y administraciones públicas, LOPD, técnicas RSA, Thawte, VeriSign
trackback

Confianza en la red 033

En el programa hemos hablado con Julián Inza, Presidente del Grupo Interactiva, sobre el funcionamiento de los servidores web en modo seguro.

Los servidores de los bancos y de las administraciones públicas, tienen la opción de utilizar criptografía de clave simétrica junto con la criptografía de clave asimétrica. Al instalar un certificado relacionado con su clave, el ordenador del usuario, donde está un navegador, se conecta con el servidor. Si la dirección empieza con https, sabemos que la conexión es segura. Cuando se hace este tipo de conexión, el navegador del usuario le pregunta al servidor si es capaz de mantener conexiones seguras y el servidor le contesta que sí y le entrega su certificado al navegador. Con la información del certificado, el navegador extrae la clave pública, y cifra con la clave pública una clave de sesión, se lo envía al servidor, que es el único que lo puede descifrar con su clave privada, a partir de ese momento, mantienen una sesión cifrada con clave simétrica.

Los servidores web seguros tienen interés para el sector ABC, Administración electrónica, Banca electrónica y Comercio electrónico, porque en estos contextos es muy importante que la información que pasa por muchos nodos vaya cifrada: números tarjetas de crédito, datos confidenciales, datos personales protegidos por la LOPD, …

Los que tienen este tipo de servicios tienen que instalar un certificado de servidor y tiene que ir al mercado para buscarlos. Entre las entidades proveedoras de los certificados de servidor necesarios para utilizar esta tecnología se ha de destacar la norteamericana VeriSign y Thawte en Sudáfrica. En España EADTrust ha empezado a emitir certificados para servidores web.

La tecnología de curvas elípticas permite que con tamaños de clave menores se tenga una robustez criptográfica superior. El Instituto Nacional de Normas y Tecnología de EE.UU. (NIST) y la Unión Europea recomiendan el uso de curvas elípticas para proteger a los servidores de una manera más robusta.