Buscar
Cerrar este cuadro de búsqueda.
Categorías
Protección de datos

La identidad digital beneficia a empresas y clientes

Las empresas entienden que ofrecer una gran experiencia al cliente es esencial en esta era digital. Y la identidad digital es una de las vías clave.

Sin embargo, para muchos gestores, las solicitudes de identificación digital y el intercambio de información personal dificultan las estrategias destinadas a facilitar la interacción de los usuarios en operaciones que implican la conversión en negocio a través de transacciones digitales.

La práctica habitual de pedir a los clientes que confirmen su identidad en todos los puntos de contacto se ha convertido en un obstáculo. Esta situación afecta tanto a la asistencia como a la seguridad de los datos.

¿No es potencialmente arriesgado seguir comunicando datos personales considerados sensibles? ¿Quién puede estar escuchando o leyendo esta información? ¿Y por qué proporcionar identificación digital para, por ejemplo, suscribirse a un boletín? ¿Qué tiene esto que ver con la seguridad?

Los retos de la gestión de las identidades digitales

Las preguntas anteriores ponen de relieve dos retos de la gestión de las identidades digitales de los clientes.

El primero de ellos es el oneroso proceso de estandarización de la mayoría de las estrategias de seguridad, que hace potencialmente tan difícil “comprar un llavero de repuesto para un juego de llaves de coche como comprar el propio coche”.

Se trata de una visión confusa para el cliente, en la que la validación digital no suele estar relacionada con la validación no digital. Además, los registros de acceso de los distintos puntos de contacto con el cliente se almacenan en ubicaciones separadas.

Hay muchos puntos, pero no hay forma de conectarlos, este formato sigue siendo un estándar para muchas empresas.

Detrás de estos retos está la tensión entre los responsables de TI y sus colegas de marketing. Al fin y al cabo, los primeros quieren proteger estos datos y los segundos explotarlos para mejorar la experiencia del cliente.

Por ello, ambas perspectivas pueden resultar difíciles de conciliar.

Identificación digital: el potencial para aumentar el valor de la marca

Los directores de marketing (CMO) de hoy en día se enfrentan al reto de impulsar el valor de la marca. Ese valor procede de deleitar a los clientes. Los clientes suelen estar encantados cuando se sienten vinculados a las marcas.

Sin embargo, la posibilidad de que esto ocurra suele estar relacionada con el acceso de los profesionales del marketing a los datos personales necesarios para personalizar la experiencia del cliente.

Cuando se hacen bien, estas experiencias personalizadas pueden generar no sólo confianza, sino también defensa de la marca.

Imaginemos, por ejemplo, un jugador de fútbol fiel a una determinada marca. Como esta marca se ha ganado su confianza, comparte información personal que no compartiría necesariamente con otras marcas de fútbol.

La experiencia del cliente, la conexión emocional creada, el valor percibido de la marca, estas cosas son ahora inseparables y dependen de la identidad digital.

La identidad digital es el combustible del compromiso de los clientes. También es una fuente de gran preocupación para los CIO, los CISO y los equipos de TI responsables de garantizar la seguridad de la información sensible, como las identidades digitales.

Pero aunque estos puntos para la experiencia del cliente y la seguridad parezcan contradictorios, no tienen por qué serlo.

Al fin y al cabo, hay un camino convergente. Lo que necesitan los equipos de marketing y tecnología para atender mejor y con más confianza a los clientes es una forma de ver y conectar los puntos. Una forma de hacerlo: la autenticación de la identidad digital basada en el riesgo.

Cuatro principios de la gestión de identidades digitales basada en el riesgo

Los líderes empresariales y de TI deben considerar la noción de que la identidad del cliente no es sólo una cuestión de seguridad.

En su lugar, pueden pensar en ello como una característica que también puede aplicarse con flexibilidad en múltiples plataformas y adaptarse a los movimientos y preferencias de marketing individuales, además de hacerlo menos obvio para los clientes.

Los responsables de marketing e informática pueden ayudarse mutuamente colaborando en el diseño de un sistema con cuatro características bien definidas.

1. Dependencia del contexto

Las empresas que utilizan un planteamiento flexible pueden, por ejemplo, exigir múltiples medios de autenticación para las transacciones financieras, pero un nivel inferior de verificación para interacciones como la actualización de la suscripción a un boletín.

Este tipo de autenticación basada en el riesgo tiene el beneficio potencial de mejorar la experiencia del cliente y reducir la complejidad para la organización.

Arquitectura de la plataforma de seguridad de datos CipherTrust

2. Transparencia

En lugar de destacar como una actividad independiente y onerosa, la autenticación basada en el riesgo puede formar parte integrante de las experiencias en línea que los clientes ya realizan, como la búsqueda, la compra, el mantenimiento o el registro.

Deshacerse de los CAPTCHA o recordar el nombre de algo favorito en cada paso del recorrido del cliente es sólo una parte del cambio.

Después de todo, desde este punto de vista, la configuración inicial de los perfiles de identidad de los clientes es más exhaustiva y va más allá de unas pocas pruebas obvias, de modo que se requieren menos pasos de autenticación visibles (si los hay) una vez que el cliente se compromete.

3. Personalización

La era digital nos ha permitido definir opciones: a un cliente puede gustarle autenticarse mediante un gestor de contraseñas seguro, mientras que otro puede preferir el reconocimiento biométrico.

Si combinamos esta capacidad de elección con un sistema de gestión de relaciones basado en la identidad capaz de aplicar estas preferencias a lo largo del tiempo y de las plataformas, el resultado puede ser una experiencia que anime a los clientes a relacionarse con una marca con más frecuencia y de forma más voluntaria.

4. Omnipresencia

Cualquier sistema de identidad digital adaptado al cliente debe funcionar de forma coherente en todas las plataformas de marketing, comercio electrónico y herramientas de gestión y comunicación, para que los clientes no tengan que enfrentarse a diferentes requisitos de autenticación en las distintas partes de la empresa.

Trabajando juntos para garantizar que así sea, los responsables de marketing, TI y otros pueden ayudar a ofrecer una experiencia de usuario unificada y segura, empezando así a generar lealtad y confianza en la marca.

Generar identidades digitales

Una identidad digital puede crearse mediante un certificado digital emitido por una Autoridad de Certificación (CA), basado en criptografía asimétrica.

El certificado contiene datos asociados a un usuario o dispositivo (por ejemplo, su nombre o la copia de la clave pública).

El uso de certificados digitales tiene muchas ventajas para las organizaciones, por ejemplo:

  • Garantizar el cumplimiento de la legislación;
  • Alto grado de seguridad, que protege la información y reduce el riesgo de fraude;
  • Mayor confianza de usuarios y clientes.

A su vez, los certificados digitales pueden utilizarse junto con software de firma digital para generar firmas digitales. Además, la gestión de identidades se convierte en una cuestión prioritaria para las organizaciones.

La identidad digital mediante certificados digitales ya es una realidad

Es necesario disponer de un sistema que le permita asociar y unificar sus datos, facilitar el acceso a todos los sistemas que deban utilizarlos y, sobre todo, ofrecer un alto grado de privacidad y seguridad.

La transformación de la identidad digital es algo más que implantar nuevas tecnologías y herramientas de seguridad. Al fin y al cabo, también implica cambios sistémicos, desde las funciones básicas de seguridad de la información, marketing y servicios hasta ámbitos como la gobernanza, las finanzas, la cultura e incluso el modelo empresarial.

En algunos países, la identidad digital está plenamente consolidada y tiene muchas aplicaciones en la vida cotidiana. Quizá el ejemplo más llamativo sea Estonia.

Este pequeño país báltico de 1,3 millones de habitantes introdujo en 2002 el sistema de identificación digital basado en el registro nacional y el documento nacional de identidad digital.

Este documento, obligatorio para los mayores de 15 años, permite a sus ciudadanos votar, comprar billetes de transporte público, cifrar correos electrónicos, renovar su pasaporte, acceder a su historial médico, firmar documentos y realizar casi cualquier tipo de gestión administrativa en línea, en cualquier lugar y en cualquier momento y permitiendo a los usuarios ser dueños de sus propios datos.

Pero el sistema estonio es sólo una muestra de lo que está por venir. Al fin y al cabo, se espera que el número de participantes en el mercado que se conecten en línea crezca exponencialmente en los próximos años.

Gracias al desarrollo de la Internet de los objetos, millones de objetos (desde frigoríficos hasta contenedores conectados a Internet) empezarán a funcionar previsiblemente de forma simultánea e integrada. Para ello también habrá que establecer normas para verificar sus identidades.

Acerca de Eval

EVAL lleva más de 18 años desarrollando proyectos en los sectores financiero, sanitario, educativo e industrial. Desde 2004, ofrecemos soluciones de autenticación, firma electrónica y digital y protección de datos. Actualmente estamos presentes en los principales bancos brasileños, instituciones sanitarias, escuelas y universidades, así como en diferentes industrias.

Con un valor reconocido por el mercado, las soluciones y servicios de EVAL cumplen las normas reglamentarias más exigentes de organizaciones públicas y privadas, como SBIS, ITI, PCI DSS y la Ley General de Protección de Datos (LGPD). En la práctica, fomentamos la seguridad y el cumplimiento de la normativa en materia de información, el aumento de la eficacia operativa de las empresas y la reducción de costes.

Innova ahora, lidera siempre: descubre las soluciones y servicios de Eval y lleva a tu empresa al siguiente nivel.

Eval, la seguridad es un valor.

Categorías
Protección de datos

Almacenar certificados digitales es vital para las empresas

¿Cómo almacenar certificados digitales y claves criptográficas garantizando la seguridad de la empresa? Sin duda, el camino pasa siempre por la adopción de buenas prácticas.

Es decir, el almacenamiento de certificados digitales y claves criptográficas proporciona una capa de seguridad crítica que protege todos los activos virtuales de una empresa.

Las violaciones debidas a ataques basados en la confianza se deben precisamente a un almacenamiento inadecuado y a una mala gestión.

Cuando tiene éxito, un ataque llevado a cabo contra un certificado digital puede tener efectos desastrosos para cualquier organización. Además de los aspectos de seguridad, los certificados caducados causan grandes pérdidas en el negocio.

Por lo tanto, no basta con implantar una política de uso de certificados digitales y claves criptográficas: también es necesario desarrollar asertivamente procesos de almacenamiento y gestión.

Siga leyendo este post para obtener más información sobre el almacenamiento de certificados digitales.

El almacenamiento de certificados digitales y los ataques basados en la confianza

Como sabe, los certificados digitales y las claves criptográficas son esenciales para las empresas. Al fin y al cabo, protegen los datos, mantienen la privacidad de las comunicaciones y establecen la confianza entre las partes que se comunican.

En la práctica, los certificados digitales se utilizan para varios fines. Entre ellas figuran la comprobación de identidad, el cifrado de archivos, la autenticación web, la seguridad del correo electrónico y la verificación de firmas de software.

A pesar de su importancia, muchas empresas son vulnerables a las infracciones porque permiten que la gestión de certificados y claves criptográficas se considere un problema operativo, en lugar de una vulnerabilidad de seguridad que debe solucionarse de inmediato.

De hecho, es mucho más un fallo en las políticas y procesos de almacenamiento de certificados digitales que una vulnerabilidad causada por la ausencia de actualizaciones de seguridad o fallos que puedan comprometer cualquier tipo de estructura tecnológica de una organización.

Al fin y al cabo, los hackers se centran en las claves criptográficas y los certificados como vectores de ataque. Con malas intenciones, los roban para obtener un estatus de confianza y luego lo utilizan para evitar ser detectados y saltarse los controles de seguridad.

El ataque se produce precisamente cuando se rompe la confianza

Los ciberdelincuentes utilizan ataques basados en la confianza para infiltrarse en las empresas, robar información valiosa y manipular dominios. Es decir, si las claves privadas utilizadas para firmar un certificado digital caen en las manos equivocadas, se puede violar el sistema y tumbar el sitio.

Cuando se pierden estas claves criptográficas, se pierde mucho tiempo y energía accediendo a los sistemas o renovando los certificados.

Para que se haga una idea, si los certificados de firma de código utilizados para firmar una aplicación para iPhone o Android, por ejemplo, se ven comprometidos, un desarrollador no autorizado podría lanzar malware con la ayuda de la identidad corporativa violada.

Para reducir el riesgo de ataques basados en la confianza, los certificados digitales y las claves criptográficas deben protegerse y almacenarse de forma segura. Así se evita que se pierdan o caigan en malas manos.

Opciones de almacenamiento de certificados digitales y prácticas recomendadas

Cada vez que se emite un certificado digital, se genera un par de claves (privada y pública).

Sin duda, la mejor práctica es mantener segura la clave privada.

Después de todo, si alguien puede utilizarlo, puede crear sitios de phishing con el certificado de su organización en la barra de direcciones, autenticarse en redes corporativas haciéndose pasar por usted, firmar aplicaciones o documentos en su nombre y leer sus correos electrónicos cifrados.

En muchas empresas, los certificados digitales y las claves criptográficas constituyen la identidad de sus empleados y, por tanto, una extensión de la identificación de su organización. Su protección equivale a la de las huellas dactilares cuando se utilizan credenciales biométricas.

Desde luego, no permitirías que un pirata informático obtuviera tu huella dactilar. Entonces, ¿por qué dejarle acceder a tu certificado digital?

Ventajas del uso de certificados y firmas digitales

Almacenamiento de certificados digitales

Las modalidades más utilizadas para almacenar certificados digitales en Brasil son dos: A3, en token o tarjeta, y A1, en archivo en el ordenador u otro dispositivo.

A3 almacenado en token

Se trata de un tipo de certificado que se almacena en un token criptográfico, un dispositivo similar a un pendrive, que debe conectarse directamente a un puerto USB del ordenador del usuario o del servidor donde se vaya a ejecutar el sistema. Además, no es posible copiar, de lo contrario se bloquearán los soportes.

A3 almacenado en la tarjeta

Este tipo de certificado se almacena en una tarjeta inteligente con chip, como las nuevas tarjetas bancarias. En resumen, debe conectarse a un lector que debe enchufarse a un puerto USB del ordenador del usuario o del servidor donde vaya a funcionar el sistema. Asimismo, no es posible realizar copias, so pena de bloquear los medios criptográficos.

A1 almacenado en un archivo de un ordenador u otro dispositivo

Es un archivo electrónico guardado en el ordenador del usuario o en el servidor donde se ejecutará el sistema. Suele tener las extensiones .PFX o .P12 y no necesita fichas ni tarjetas para ser transportado de un lado a otro.

Almacenamiento en la nube A1

Con él podrá acceder a su certificado y firmar digitalmente documentos a través de cualquier dispositivo: ordenadores de sobremesa, teléfonos inteligentes y tabletas. Por último, también gana en seguridad y elimina la preocupación por daños físicos, robos y pérdidas.

No pierda sus certificadosdigitales

En resumen, el almacenamiento de certificados digitales debe ser eficiente y tratarse como una prioridad en la organización.

La elección de la mejor forma de almacenamiento dependerá de las políticas y procesos de seguridad implantados en la empresa y, principalmente, de quién utiliza los certificados y para qué se utilizan.

De este modo, las normativas que deba cumplir su empresa, los costes y los recursos internos estarán asegurados gracias al almacenamiento de certificados digitales.

Acerca de Eval

EVAL lleva más de 18 años desarrollando proyectos en los sectores financiero, sanitario, educativo e industrial. Desde 2004 ofrecemos soluciones de autenticación, firma electrónica y digital y protección de datos. Actualmente estamos presentes en los principales bancos brasileños, instituciones sanitarias, escuelas y universidades, así como en diferentes industrias.

Con un valor reconocido por el mercado, las soluciones y servicios de EVAL cumplen las normas reglamentarias más exigentes de organizaciones públicas y privadas, como SBIS, ITI, PCI DSS y LGPD. En la práctica, fomentamos la seguridad y el cumplimiento de la normativa en materia de información, el aumento de la eficacia operativa de las empresas y la reducción de costes.

Innova ahora, lidera siempre: descubre las soluciones y servicios de Eval y lleva a tu empresa al siguiente nivel.

Eval, la seguridad es un valor.

Categorías
Firma digital

Aprenda cómo funciona la firma digital

No confundir con el certificado digital. Este es el primer paso para saber cómo funciona la firma digital. Sirve para validar la autenticidad e integridad de un mensaje, programa informático o documento electrónico.

Equivalente a una firma manuscrita o un sello estampado, la firma digital ofrece seguridad y autenticidad en formato electrónico. Su objetivo es resolver problemas como la manipulación y la representación en las comunicaciones digitales.

Si aún tienes dudas sobre la eficacia de la firma digital en tu negocio, consulta este post y despeja cualquier duda sobre su funcionamiento y las ventajas de adoptar este recurso en tu empresa.

El valor estratégico de la firma electrónica para las empresas

Para las empresas, estas soluciones ofrecen garantías de prueba del origen, la identidad y el estado de los documentos, transacciones o mensajes electrónicos. Además, también garantiza el reconocimiento y la autenticidad de lo que se ha firmado digitalmente.

Para hacernos una idea de la eficacia de la firma digital en las empresas, podemos fijarnos en Estados Unidos. Al fin y al cabo, las firmas digitales tienen la misma importancia jurídica que las formas más tradicionales de documentos firmados.

La US Government Printing Office publica regularmente versiones electrónicas del presupuesto, leyes públicas y privadas y proyectos de ley del Congreso con firma digital.

Qué hay detrás de la firma digital

Básicamente, las firmas digitales utilizan criptografía de clave pública o asimétrica para su creación. Una criptografía de clave pública implica un par de claves: una pública y otra privada.

Las dos claves están relacionadas matemáticamente. La clave pública, como su nombre indica, es abierta y está a disposición de cualquiera que quiera acceder a ella. Puede, por ejemplo, almacenarse en un servidor de claves públicas.

Por otro lado, la clave privada se guarda en un entorno seguro de la empresa, nunca se transmitirá públicamente. El remitente de un documento electrónico utiliza su clave privada para cifrar ese documento, es la firma digital.

Por último, el receptor descifra la firma con la clave pública para verificar que coincide con el archivo adjunto. Además, las claves privadas son únicas para cada usuario, lo que proporciona autenticidad verificada al mensaje del remitente.

Sólo la clave privada del remitente puede utilizarse para crear la firma digital. Para confirmar esta firma se utiliza la clave pública correspondiente, para ello se utiliza el certificado digital.

El uso de la firma digital optimiza las inversiones y aumenta la productividad

Una firma digital puede utilizarse con cualquier tipo de mensaje, cifrado o no. Se utiliza para que el destinatario pueda estar seguro de la identidad del remitente y de que el mensaje ha llegado intacto.

De este modo, las firmas digitales dificultan que el “firmante” niegue haber firmado algo (no repudio). Al fin y al cabo, la firma digital es única tanto para el documento como para el firmante.

El certificado digital contiene la firma digital de la autoridad emisora del certificado y vincula una clave pública a una identidad, y puede utilizarse para verificar que una clave pública pertenece a una persona o entidad concreta.

La mayoría de los programas de correo electrónico, navegadores de Internet y lectores de texto, como Adobe Reader, admiten el uso de firma y certificado digitales. Esto facilita la firma de cualquier correo electrónico saliente y la validación de mensajes entrantes, u otros tipos de archivos firmados digitalmente.

Las firmas digitales también se utilizan ampliamente para proporcionar pruebas de autenticidad, integridad de los datos y no repudio de las comunicaciones y transacciones realizadas a través de Internet.

6 benefícios mais importantes da assinatura digital
 

Es posible reducir costes con la firma digital

Al migrar sus procesos empresariales a soportes digitales, las empresas reducen el consumo de papel y los costes asociados a la impresión y el transporte de documentos. Esta estrategia permite, por ejemplo, dirigir lo ahorrado a sectores estratégicos de la organización.

Y seguir aumentando la productividad

Además de optimizar las inversiones en la actividad principal, la reducción de los costes de impresión y el uso de medios digitales para automatizar los procesos también aumentan la productividad.

Las organizaciones y sus empleados ya no llevan a cabo procesos manuales y pueden centrarse en sus actividades principales sin tener que detener sus tareas para imprimir documentos o llevarlos a distintos departamentos. En otras palabras, con la firma digital es posible conseguir beneficios estratégicos en toda la empresa.

¿Puede cualquier empresa utilizar una firma digital?

Por último, quizá se pregunte si cualquier empresa u organización puede obtener una firma digital. ¿Cómo se obtiene? ¿Merece la pena invertir en él?

Para responder a esa pregunta, basta con repasar los conceptos que vimos al principio del artículo. En otras palabras, cuando un usuario crea un documento, lo firma con una firma digital única y lo envía al destinatario.

Si la firma del emisor utiliza una autoridad de certificación reconocida, en el caso de Brasil las que están homologadas por la ITI, dentro del ICP-Brasil, el receptor confiará en la autoridad de certificación para confirmar la identidad del emisor. De este modo, autentica el mensaje y proporciona no repudio.

Así que sí, cualquier persona, empresa, organismo, etc. puede y debe obtener una firma digital. Además, es una cuestión de seguridad estratégica para la empresa. Además, existen varias empresas, conocidas como autoridades de certificación (AC), que gestionan la emisión de certificados digitales y están autorizadas por la ITI.

Como habrá podido comprobar, las empresas sólo pueden salir ganando si adoptan la firma digital en sus procesos empresariales.

En plena era de la Transformación Digital, adoptar esta tecnología significa que la empresa en su conjunto, los proveedores y los clientes pueden beneficiarse de una eficiencia estratégica en relación con la venta de productos y servicios.

Si aún tiene alguna duda sobre el tema, póngase en contacto con EVAL ahora mismo. Nuestros expertos están preparados para ayudarle a superar sus dificultades y poner en marcha su proyecto de adopción de la firma digital.

Acerca de Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorías
Protección de datos

Criptografía asimétrica para el secreto y la protección de datos

Cuando hablamos de criptografía, es muy común pensar sólo en técnicas para mantener el secreto de la información. Sin embargo, el cifrado puede utilizarse en muchas otras situaciones. En este post veremos cómo aplicar técnicas de criptografía asimétrica para verificar el origen de un mensaje.

Cifrado asimétrico

En primer lugar, hay que decir que una de las características más llamativas de la criptografía asimétrica es la presencia de un par de claves, con una parte pública y otra privada.

Mientras que la parte pública puede divulgarse a todas las partes interesadas, la parte privada no. Al fin y al cabo, debe ser protegido y mantenido en secreto por la entidad propietaria del par, ya sea una persona o un sistema. Desde el origen de un mensaje hasta su entrega final

Este par de claves es algo muy especial, porque cuando una de las claves se utiliza para cifrar datos, sólo la clave asociada del par puede utilizarse en el proceso inverso.

Y es esta característica la que hace posible la existencia de diversos esquemas criptográficos en la comunicación entre dos entidades.

Mensajes de Alice y Bob

Para entenderlo mejor, utilicemos la clásica analogía. Presupone la existencia de dos usuarios, Alice (A) y Bob (B), cada una con su propio par de claves.

Alice y Bob intercambian cartas (mensajes) entre sí y cada carta se introduce en un sobre con un candado especial que, cuando se cierra con una de las llaves, sólo puede abrirse con la llave de la pareja.

Ten en cuenta que como tenemos dos pares de llaves, uno para cada usuario, ¡tenemos un total de 4 llaves que se pueden utilizar para cerrar el sobre!

¿Qué tecla hay que utilizar? Bueno, depende del servicio de seguridad que quieras implementar al enviar esta carta.

Cifrado asimétrico para mantener el secreto

Si se quiere garantizar el secreto de la carta de origen de un mensaje, Alice debe cerrar el candado con la clave pública de Bob. Por lo tanto, la única clave que puede abrirlo es la clave de socio, es decir, la clave privada de Bob.

Recuerda que la clave privada de Bob, por definición,sólo debe ser conocida por Bob. Así que sólo Bob puede abrir el candado del sobre y sacar la carta.

Cifrado asimétrico para el origen

Si quiere verificar el origen de un mensaje o carta, Alice puede cerrar el sobre utilizando su clave privada. De este modo, la única clave que abre el sobre es la clave de asociación, es decir, la clave pública de Alice.

Recuerda que la clave pública de Alice, por definición, es de dominio público. De esta forma, todo el mundo podría abrir el sobre utilizando la clave pública de Alice.

Tenga en cuenta que en esta situación, aunque la carta esté en un sobre cerrado con candado, el contenido no es secreto. Al fin y al cabo, cualquiera puede abrir el candado del sobre utilizando la clave pública de Alice.

Lo que se exige es verificar el origen de la carta (o la autoría del remitente). En otras palabras, para que Bob compruebe si la carta procede de Alice, lo único que tiene que hacer es abrir el candado con su clave pública.

Tenga en cuenta que en esta situación, aunque la carta esté en un sobre cerrado con candado, el contenido no es secreto. Al fin y al cabo, cualquiera puede abrir el candado del sobre utilizando la clave pública de Alice.

Lo que se necesita es verificar el origen de la carta (o la autoría del remitente). En otras palabras, para que Bob compruebe si la carta procede de Alice, lo único que tiene que hacer es abrir el candado con su clave pública.

Infografía híbrida HSM

Cifrado simétrico

Es interesante señalar que el servicio de secreto también podría implementarse con criptografía simétrica (la que tiene una sola clave). Al fin y al cabo, es mucho más rápido.

Por ello, es habitual ver protocolos de seguridad que utilizan esquemas híbridos con criptografía simétrica y asimétrica para implementar servicios de confidencialidad, verificación de origen, autenticación e irrecuperabilidad, aprovechando las ventajas de cada uno: la rapidez de la criptografía simétrica y la flexibilidad de uso de la criptografía asimétrica.

Por último, después de toda esta explicación, queda al menos una pregunta abierta: ¿cómo sabe Bob con seguridad que tiene una copia de la clave pública de Alice y cómo sabe Alice con seguridad que tiene la clave pública de Bob?

La forma de confiar en la clave pública de alguien es obtener una copia de ella de alguien de confianza. Necesitas una marca en la clave que diga: “esta es la clave pública de fulano”.

La combinación de la clave pública de la entidad y la información que la identifica se denomina certificado digital, tema para otro post.

También hemos escrito un artículo que puede interesarle. Habla de la encriptación de datos y su importancia en el mercado financiero.

Suscríbase a nuestro boletín y manténgase al día de las novedades y tecnologías de Eval. Siga nuestro
contenido del blog
y aprovechando
nuestro perfil en Linkedin
.

Acerca de Eval

EVAL lleva más de 18 años desarrollando proyectos en los sectores financiero, sanitario, educativo e industrial. Desde 2004, ofrecemos soluciones de autenticación, firma electrónica y digital y protección de datos. Actualmente estamos presentes en los principales bancos brasileños, instituciones sanitarias, escuelas y universidades, así como en diferentes industrias.

Con un valor reconocido por el mercado, las soluciones y servicios de EVAL cumplen las normas reglamentarias más exigentes de organizaciones públicas y privadas, como SBIS, ITI, PCI DSS y LGPD. En la práctica, fomentamos la seguridad y el cumplimiento de la normativa en materia de información, el aumento de la eficacia operativa de las empresas y la reducción de costes.

Innova ahora, lidera siempre: descubre las soluciones y servicios de Eval y lleva a tu empresa al siguiente nivel.

Eval, la seguridad es un valor.

Categorías
Protección de datos

Google Chrome y el mensaje “Su conexión no es privada

Passados quase 2 meses desde o lançamento da versão 58 do Google Chrome, lançada em 25 de abril desse ano, ainda há muita gente por aí encontrando a mensagem “Sua conexão não é particular” com o código de erro NET::ERR_CERT_COMMON_NAME_INVALID ao acessar sites com cadeados (sites protegidos pelo protocolo SSL ou TLS).
Su conexión no es privada
Mas o que essa mensagem no Google Chrome realmente significa e como ela surgiu? Bem, primeiramente é preciso saber o que acontece quando os navegadores web acessam um site protegido por SSL.

Certificado de servidor

Há uma série de verificações de segurança nos navegadores. Dentre elas, a mais importante para os propósitos dessa explicação é a verificação da validade do certificado apresentado pelo servidor. Essa verificação tem o objetivo de determinar se o certificado apresentado pelo servidor que hospeda o site é válido. Pode-se verificar no Google Chrome, por exemplo, se o certificado foi emitido por uma Autoridade Certificadora confiável, se sua assinatura está válida, se o propósito de uso do certificado está correto, se a URL para o qual o certificado foi emitido corresponde à URL do site, etc. Vamos entender melhor: quando o navegador web acessa o servidor na URL https://www.meusite.com.br, “https” indica que deve ser utilizado o protocolo HTTPS e www.meusite.com.br indica o nome do servidor na internet. Assim, quando o protocolo SSL é ativado, o navegador web inicialmente recebe o certificado digital do servidor. Em seguida, inicia o procedimento de sua validação. Como informado anteriormente, uma das etapas da verificação é determinar se a URL do servidor é a mesma para a qual o certificado foi emitido. Por exemplo, o certificado do servidor do Google Chrome possui a informação da URL do servidor em dois locais: no campo Requerente e no campo de extensão Nome Alternativo para o Requerente:

Campo del demandante:

  • CN = *.google.com;
  • O = Google Inc;
  • L = Mountain View;
  • S = California;
  • C = EE.UU.

Nombre alternativo del campo del solicitante:

  • Nombre DNS=*.google.com;
  • DNS name=*.android.com.

Cómo validar un certificado y un servidor

Agora que sabemos parte do que acontece quando acessamos um site protegido por SSL, entra em cena o documento RFC 2818. Este documento dá instruções sobre como os certificados digitais de servidores devem ser validados. Ele nada mais é do que um tipo de especificação pública para os fabricantes de software. Na seção 3.1 da RFC 2818 é possível encontrar as duas formas de identificação da URL do servidor que podem ser utilizadas em um certificado digital:
  1. En el componente Nombre común (CN) incluido junto al nombre de la entidad solicitante (campo Asunto );
  2. Nombre alternativo para el campo de extensión Solicitante (o Nombres alternativos de asunto).
Common Name é utilizado há bastante tempo como a forma principal de identificação. Além disso, sua visualização é bem intuitiva.

Propuesta de alternativa

No início desse ano começou um extenso debate sobre a remoção do suporte a validações baseadas somente no Common Name. No lugar dele se propunha adotar o Subject Alternative Names. Podemos discutir se essa atualização está de acordo com todas as especificações necessárias, ou se realmente traz benefícios para a segurança. Entretanto esse assunto é mais abrangente e vamos deixar para uma próxima oportunidade. Nesse momento o importante é o Subject Alternative Names passou a ser obrigatório no Google Chrome. Agora é preciso que os certificados de SSL possuam a extensão Subject Alternative Names também. Do contrário, as validações de segurança realizadas pelo Google Chrome vão resultar no alerta “Sua conexão não é particular” com o código de erro NET::ERR_CERT_COMMON_NAME_INVALID. Assim, se você é responsável por servidores que apresentam esse tipo de problema com os certificados digitais, entre em contato com a Autoridade Certificadora de sua preferência e solicite um certificado contendo o campo Subject Alternative Names. Caso isso não seja possível imediatamente, mas mesmo assim você quer se livrar dessa mensagem, é possível sobrescrever o comportamento das verificações de certificados através da opção de configuração EnableCommonNameFallbackForLocalAnchors. Tome cuidado, pois como o próprio link menciona, essa opção não é recomendada. Essa opção de configuração valerá até a versão 65, sem data de lançamento prevista.

E-VAL Technology, una empresa del Grupo E-VAL

A E-VAL Tecnologia atua há mais de 12 anos oferecendo soluções de segurança da informação para o mercado, pioneira em iniciativas no uso da certificação digital no Brasil, tais como SPB, COMPE, Autenticação, Assinatura digital de contratos, Gerenciamento de Chaves e Proteção de dados e armazenamento de chaves criptográficas para os seguimentos de instituições financeiras, educação e indústria. Fale conosco, os especialistas da E-VAL Tecnologia terão o maior prazer em atendê-los, contribuindo para o desenvolvimento dos seus projetos e a melhoria contínua da segurança da informação para a sua instituição.

Acerca de Eval

EVAL lleva más de 18 años desarrollando proyectos en los sectores financiero, sanitario, educativo e industrial. Desde 2004 ofrecemos soluciones de autenticación, firma electrónica y digital y protección de datos. Actualmente estamos presentes en los principales bancos brasileños, instituciones sanitarias, escuelas y universidades, así como en diferentes industrias.

Con un valor reconocido por el mercado, las soluciones y servicios de EVAL cumplen las normas reglamentarias más exigentes de organizaciones públicas y privadas, como SBIS, ITI, PCI DSS y LGPD. En la práctica, fomentamos la seguridad y el cumplimiento de la normativa en materia de información, el aumento de la eficacia operativa de las empresas y la reducción de costes.

Innova ahora, lidera siempre: descubre las soluciones y servicios de Eval y lleva a tu empresa al siguiente nivel. Eval, la seguridad es un valor.