Desarrollo seguro: criptografía

 La criptografía protege la información, garantizando la:

• Autenticidad.  Se verifica la identidad de las personas y sistemas que acceden a la información.
• Confidencialidad. Solamente las personas autorizadas pueden acceder a la información.
• Integridad. Solamente las personas autorizadas podrán alterar la información.

Imagen: Cripto Tendencia

La criptografía se puede usar para generar firmas digitales que aseguren la integridad de los datos, o también para cifrar datos sensibles.

Cifrado

Funciones hash

Un hash se obtiene a través de una función matemática, dando como resultado un resumen de datos de una cantidad siempre fija, independientemente del número de datos de entrada. La probabilidad de que se genere el mismo hash con diferentes datos de entrada (colisión) es muy improbable, lo que ofrece un alto nivel de seguridad. 

Un hash concreto solamente puede obtenerse con la misma función, los mismos datos de entrada y en el mismo orden, lo que es idóneo para almacenar contraseñas o para verificar la integridad (no alteración) de los datos. 

Cifrado simétrico

En este tipo de cifrado protege la confidencialidad en la transmisión y el almacenamiento de los datos, utilizando la misma clave para cifrar y descifrar la información. La ventaja es que fácil y rápido de implementar, pero, por contra, tanto el emisor como el receptor deben compartir la clave, lo que se convierte en un punto débil, especialmente en entornos distribuidos.

Cifrado asimétrico

Este cifrado requiere dos claves diferentes. La clave pública es compartida públicamente y se utiliza para cifrar la información, mientras que la clave privada se mantiene en secreto, y solo puede ser usada para descifrar.

La ventaja de este cifrado es que no es necesario compartir la clave privada para establecer una comunicación segura. La desventaja es que es más lento y difícil de implementar que el cifrado simétrico.

Posibles riesgos

A continuación se describen algunos de los posibles riesgos relativos al uso de información que no esté suficientemente encriptada:

• Exposición de información sensible. Disponibilidad de esta información para usuarios no autorizados.
• Robo de credenciales y suplantación de identidad. El acceso a contraseñas permitirían a un atacante suplantar a un usuario.
• Fuga de datos personales. El robo de datos personales son punibles y sancionables según las regulaciones de cada país.
• Ataques Man in the Middle (MitM). Se pueden interceptar comunicaciones poco aseguradas y descubrir el flujo de datos que lleve a información útil y valiosa para realizar ataques.
• Reputación para la organización.

Mejores prácticas

He aquí algunas recomendaciones para elevar la seguridad en la criptografía:

• Evitar el uso de algoritmos criptográficos antiguos u obsoletos, como DES, MD5 o SHA-1.
• Usar librerías criptográficas reputadas.
• Toda información sensible y confidencial debe estar fuertemente cifrada para asegurar la confidencialidad.
• Los números aleatorios utilizados en ids, códigos, nombres de archivos y cadenas se generan a través de un generador de números aleatorios disponible en una librería criptográfica reputada.
• Los números aleatorios se deben generar con un nivel entropía adecuado.
• Aplicar políticas de gestión de claves criptográficas para la generación, distribución, revocación y desactualización.
• Para evitar ataques de volcado de memoria, sobreescribir con ceros la información crítica que deje de utilizarse.

Referencias

• CCN-CERT BP/28: Recomendaciones sobre desarrollo seguro

Librería de encriptación en Python

En esta entrada quisiera compartir con vosotros una librería en Python que he desarrollado para encriptar y desencriptar vuestros datos, pudiéndola adaptar a vuestras necesidades. Esta librería la podéis descargar desde el siguiente enlace: https://drive.google.com/file/d/0B1-JQdWrVRabY1FDTEdvcG5CSWM/view?usp=sharing

Al final del código tenéis comentados diferentes bloques de código para poder probar la librería.

A continuación os explico, en términos generales, para qué sirve cada parte del código.

CODEBASE (Código base)

El código base contiene un juego de 140 caracteres (sin repetir). Este juego de caracteres debe ser el mismo utilizado en los textos que se desean encriptar. El juego que he preparado contiene la inmensa mayoría de caracteres utilizados en el idioma español.

MATRIX (Matriz de códigos)

La matriz es un array de códigos, mediante el cual se realiza la trasposición de caracteres para la encriptación y desencriptación de las datos.

Esta librería ya viene con una matriz predeterminada, pero se puede generar una nueva matriz mediante la función create_random_matrix().

La matriz contiene tantos elementos o filas como número de caracteres tiene el código base. Cada uno de estos elementos o filas es una cadena de texto con los mismos caracteres que el código base, pero dispuestos de forma aleatoria. Para obtener una de estas filas, create_random_matrix() utiliza internamente la función get_random_line().

ENCRIPTAR

Para encriptar un dato, se utiliza la función encrypt(), a la cual se le pasan dos parámetros de tipo string: la cadena de texto a encriptar, y la clave utilizada para encriptar.

Internamente, el proceso de encriptar posee dos pasos que realiza automáticamente la función encrypt(): encriptar (filtro 1) y codificar (filtro 2).

El proceso de encriptar lo lleva a cabo la función code(), la cual realiza la trasposición de caracteres de la cadena de texto a través de la clave, y utilizando la matriz de códigos. El resultado es un galimatías que utiliza los caracteres del código base.

El proceso de codificar lo lleva a cabo la función code_hex(), la cual transforma la cadena encriptada en una secuencia hexadecimal.

El resultado final de la encriptación es una cadena en hexadecimal que contiene, exactamente, el doble de caracteres que la cadena original.

DESENCRIPTAR

Para desencriptar el dato encriptado, se utiliza la función decrypt(), a la cual se le pasan dos parámetros de tipo string: la cadena de texto encriptada, y la clave utilizada para encriptar.

El proceso de desencriptar posee dos pasos que realiza automáticamente la función decrypt: decodificar (filtro 1) y desencriptar (filtro 2).

El paso de decodificar lo lleva a cabo la función decode_hex(), la cual transforma la cadena en hexadecimal en una cadena de texto encriptada, la cual es un galimatías que utiliza los caracteres del código base.

El paso de desencriptar lo lleva a cabo la función decode(), la cual transforma la cadena de texto encriptada en el texto original. Esto lo realiza mediante la clave y la matriz de códigos, realizando el proceso de trasposición inverso al que se utilizó para la encriptación.

El resultado final de la desencriptación será la cadena de texto original, la cual contiene, exactamente, la mitad de caracteres que la cadena encriptada.

Librería de encriptación en PHP

En esta entrada quisiera compartir con vosotros una librería en PHP que he desarrollado para encriptar y desencriptar vuestros datos, pudiéndola adaptar a vuestras necesidades. Esta librería la podéis descargar desde el siguiente enlace: https://drive.google.com/file/d/0B1-JQdWrVRabNVpsTHNpb3JCaXM/view?usp=sharing

Al final del código tenéis comentados diferentes bloques de código para poder probar la librería.

A continuación os explico, en términos generales, para qué sirve cada parte del código.

CODEBASE (Código base)

El código base contiene un juego de 140 caracteres (sin repetir). Este juego de caracteres debe ser el mismo utilizado en los textos que se desean encriptar. El juego que he preparado contiene la inmensa mayoría de caracteres utilizados en el idioma español.

MATRIX (Matriz de códigos)

La matriz es un array de códigos, mediante el cual se realiza la trasposición de caracteres para la encriptación y desencriptación de las datos.

Esta librería ya viene con una matriz predeterminada, pero se puede generar una nueva matriz mediante la función create_random_matrix().

La matriz contiene tantos elementos o filas como número de caracteres tiene el código base. Cada uno de estos elementos o filas es una cadena de texto con los mismos caracteres que el código base, pero dispuestos de forma aleatoria. Para obtener una de estas filas, create_random_matrix() utiliza internamente la función get_random_line().

ENCRIPTAR

Para encriptar un dato, se utiliza la función encrypt(), a la cual se le pasan dos parámetros de tipo string: la cadena de texto a encriptar, y la clave utilizada para encriptar.

Internamente, el proceso de encriptar posee dos pasos que realiza automáticamente la función encrypt(): encriptar (filtro 1) y codificar (filtro 2).

El proceso de encriptar lo lleva a cabo la función code(), la cual realiza la trasposición de caracteres de la cadena de texto a través de la clave, y utilizando la matriz de códigos. El resultado es un galimatías que utiliza los caracteres del código base.

El proceso de codificar lo lleva a cabo la función code_hex(), la cual transforma la cadena encriptada en una secuencia hexadecimal.

El resultado final de la encriptación es una cadena en hexadecimal que contiene, exactamente, el doble de caracteres que la cadena original.

DESENCRIPTAR

Para desencriptar el dato encriptado, se utiliza la función decrypt(), a la cual se le pasan dos parámetros de tipo string: la cadena de texto encriptada, y la clave utilizada para encriptar.

El proceso de desencriptar posee dos pasos que realiza automáticamente la función decrypt: decodificar (filtro 1) y desencriptar (filtro 2).

El paso de decodificar lo lleva a cabo la función decode_hex(), la cual transforma la cadena en hexadecimal en una cadena de texto encriptada, la cual es un galimatías que utiliza los caracteres del código base.

El paso de desencriptar lo lleva a cabo la función decode(), la cual transforma la cadena de texto encriptada en el texto original. Esto lo realiza mediante la clave y la matriz de códigos, realizando el proceso de trasposición inverso al que se utilizó para la encriptación.

El resultado final de la desencriptación será la cadena de texto original, la cual contiene, exactamente, la mitad de caracteres que la cadena encriptada.